כל הכתבות של CyberNow בנושא אבטחת דפדפן — 21 כתבות. ניתוחים טכניים, עדכוני אבטחה והתראות בעברית.
חברת המחקר Socket סופרת 319 תוספים לכרום שמחליפים את מנוע החיפוש של הדפדפן ומנתבים כל שאילתה דרך שרת שבשליטת המפעילים לפני שהיא מגיעה ל-Bing או ל-Yahoo. רוב התוספים כבר הוסרו מהחנות, וחדשים ממשיכים להופיע.
גוגל הודיעה שכרום יבדוק פקודות חשודות ברגע שמעתיקים אותן מדף אינטרנט, ויציג אזהרה לפני ההרצה. ההגנה עובדת רק למי שהפעיל את מצב "הגנה מתקדמת", ורק על מה שהועתק מתוך הדפדפן.
ב-17 באוקטובר שלח חוקר לצוותי כרום ופיירפוקס הודעה שחתם שמונה פעמים, בשמונה מפתחות פרטיים של חברה שמנפיקה תעודות אבטחה לאתרים. כרום חסם תוך שעה ו-40 דקות, ולפי צוות השורשים שלו אף תעודה לאתר לא הונפקה בהם לפני החסימה.
ההודעה על המסך אומרת שמיקרוסופט השביתה את המחשב ושאסור להפעיל אותו מחדש, ומציעה מספר טלפון. החוקרים ב-Infoblox התקשרו, ומי שענה ביקש מהם להתקין תוכנה שנותנת שליטה מלאה במחשב.
חברת האבטחה XBOW חיברה שלוש חולשות בכרום לתקיפה שמריצה קוד על ווינדוס מעצם הכניסה לעמוד אינטרנט. החולשות תוקנו עוד באוגוסט ובספטמבר, והחידוש הוא במחיר: שישה ימים וכ-40 אלף דולר של חישוב, לפי החברה עצמה.
חברת Socket מצאה בחנות התוספים של פיירפוקס 16 תוספים שהתחזו לארנקי Rabby ו-OKX ואספו את מילות השחזור של המשתמשים. כולם הוסרו עד ה-5 באוקטובר, אבל אותה קבוצה כבר עשתה את זה באוגוסט תחת שמות אחרים.
חוקר אבטחה הדגים איך תוסף דפדפן עם הרשאות רגילות מגיע אל עוזר ה-AI המובנה בכרום, באדג', ב-Comet, ב-Opera Neon וב-Claude in Chrome, ומפעיל אותו בשם המשתמש. גוגל ומיקרוסופט כבר תיקנו, לשלושת האחרים אין עדיין מועד תיקון פומבי.
חוקרי Elastic Security Labs פרסמו ניתוח של מערך נוזקות שמתחזה לתריסר בנקים בברזיל ומשתיל בכרום ובאדג' תוסף שמעתיק פרטי אימות, cookies ותוכן של עמודים. הם רשמו על שמם את הדומיין שהנוזקה בודקת מולה, וספרו 1,515 מחשבים נגועים.
כל קישור בתוצאות החיפוש של גוגל עובר עכשיו דרך כתובת ביניים מקודדת בתוך google.com. גוגל אישרה את השינוי בסוף אוגוסט בלי לפרט נגד מה הוא מכוון, והעצה הנפוצה ביותר נגד פישינג, לבדוק לאן הקישור מוביל לפני הלחיצה, איבדה את המקור שלה.
חוקרי Socket מצאו שתוסף דפדפן פופולרי לחסימת פרסומות ב-Twitch מנתב את בקשות הווידאו דרך שרתים של שירות בוטים רוסי, ומצרף לכתובת את ה-token החי של המשתמש. עשרה ערוצים ברשימה קבועה פטורים מזה.