Google выпускает срочное обновление для Chrome, которое исправляет критическую уязвимость нулевого дня CVE-2023-2033, активно эксплуатирующуюся в дикой природе.

Удаленный злоумышленник может получить полный контроль над устройством пользователя, включая доступ к личным данным, паролям и финансовой информации.

#Google, #Chrome, #обновление, #уязвимость, #CVE2023-2033 @SecLabNews

«Enhanced Ad Privacy»: новый способ таргетировать рекламу от Google

👆«Enhanced Ad Privacy» — это новая функция в браузере Chrome, которая позволяет сайтам показывать рекламу на основе интересов пользователя, определяемых через историю поиска.

👆Функция основана на Topics API — части проекта Privacy Sandbox, разработанного для улучшения приватности в сети. Данные обрабатываются на целевом устройстве с помощью алгоритмов машинного обучения.

👆Функцию всегда можно отключить, но уведомление от Google может сбить пользователя с толку. Некоторые эксперты и корпорации критикуют нововведение, называя его «шпионским программным обеспечением».

#Google #Chrome #Privacy @SecLabNews

Google обновляет Chrome с учётом конфиденциальности: в чём преимущества и недостатки новой технологии

〰️ Песочница конфиденциальности — это набор технологий Google, которые заменяют сторонние куки на решения, сохраняющие конфиденциальность при показе персонализированного контента и рекламы.

〰️ Основной компонент песочницы конфиденциальности — это Topics API, который сортирует пользователей по тематикам, не раскрывая их личности. Пользователи могут настраивать отображаемые темы и отказываться от персонализации.

〰️ Кроме того, Google улучшает защиту Chrome от фишинга в режиме реального времени, не используя историю посещений пользователей.

〰️ Критики предполагают, что компания преследует в первую очередь собственные интересы, а не интересы пользователей. По их мнению, песочница конфиденциальности скорее направлена на то, чтобы предотвратить введение жёстких ограничительных законов в отношении сбора данных

#Google #Chrome #PrivacySandbox @SecLabNews

Минюст США готовит радикальную реформу Google

💥 Министерство юстиции США выдвинуло радикальное предложение — обязать Google продать браузер Chrome. Также рассматривается возможность отделения Android для восстановления конкуренции на рынке поиска.

🚫 Минюст планирует запретить Google платить компаниям за установку своего поисковика по умолчанию. Компании придется делиться результатами поиска и данными запросов с конкурентами в течение 10 лет.

⚖️ Google назвала требования «чрезмерными» и угрожающими технологическому лидерству США. Окончательное решение по делу будет принято в апреле после двухнедельного разбирательства.

#Google #антимонополия #Chrome #Android

@SecLabNews

🔐 Google решает за вас: Chrome сам поменяет ваш пароль

Скомпрометированный или слишком слабый пароль? Chrome сам его заменит. На конференции Google I/O анонсирована функция автоматической смены паролей через встроенный менеджер. Браузер не только предупредит, но и самостоятельно подставит надёжную комбинацию — без участия пользователя, если сайт поддерживает такую возможность.

Механизм работает через Google Password Manager: при входе Chrome может определить, что пароль скомпрометирован, и предложить автоматически заменить его — на поддерживаемых сайтах. Разработчикам дали время подготовиться: запуск ожидается в конце года.

Это попытка решить давнюю проблему — люди не меняют пароли, даже когда знают об угрозе. Теперь браузер сделает это за них. Но если пользователь откажется — никто не помешает злоумышленнику сделать то же самое, только первым. И без предупреждений.

#Chrome #GoogleIO #Кибербезопасность
@SecLabNews

Privacy Sandbox от Google: как "защита приватности" превратилась в новый способ деанонимизации

Google освоил новый уровень манипуляций в сфере приватности. Когда тебя прижимают регуляторы и общественность, нужно срочно что-то делать с репутацией. Вот и родился Privacy Sandbox — проект с красивым названием и туманными обещаниями. Мол, мы тут всё переделаем, cookies плохие, а наши API хорошие.

На DEF CON исследователи показали , что за красивой техно-риторикой про "дифференциальную приватность" и "федеративное обучение" скрываются серьёзные проблемы. Механизм атрибуции должен прятать человека за статистикой. А его обходят. Отладочные отчёты пробивают политику передачи источника перехода. Брошенные домены рисуют фальшивые покупки. По уловкам восстанавливают историю браузера. Общее хранилище тоже подвело: из-за кривых настроек вытаскивают значения, которые обязаны оставаться закрытыми.

Получается показательная история о том, как в IT работает корпоративный PR. Берёшь проблему, о которой все говорят. Придумываешь сложное техническое решение с умными терминами. Громко заявляешь о революции. А потом тихо надеешься, что никто не будет изучать детали реализации. Но безопасники — народ дотошный.

#приватность, #google, #chrome @SecLabNews

Подарок от Google. Как открытый коммит помог четырем хакерским бандам взломать корпорации за шесть дней

Шесть дней понадобилось китайским спецслужбам, чтобы раздать свежую связку из трех уязвимостей нулевого дня сразу четырем отдельным группировкам. Набор BlueMoon пробивает защиту поэтапно. Сначала эксплойт ломает движок V8 в Chrome, затем обходит браузерную песочницу, а баг в ядре Windows дает атакующим полные права администратора. Жертв из аэрокосмической отрасли, сырьевых трейдеров и госсектора ловили на фишинг, подсовывая шпионский модуль GemStone под видом официального помощника Google Gemini.

Уязвимым местом стала задержка выхода стабильной версии. Критическую брешь закрыли в репозитории Chromium еще 7 августа, а защищенную сборку выкатили пользователям только 3 сентября. Почти четыре недели авторы эксплойта изучали публичные изменения в коде, восстанавливали логику уязвимости и тестировали готовую цепочку. В исходниках набора исследователи нашли одинаковые загрузчики, логи отладки и ссылки на общий markdown-документ. Все группы снабжались из единого центра разработки.

Скорость тиражирования показала, насколько слаженно работает эта цепочка поставок. Разработчики оперативно закрыли бреши в Chrome и рекордном сентябрьском пакете Windows из 966 исправлений, но сам инструмент успел разойтись по операторам за считаные дни. Причем та же группа APT31 в начале года уже засветилась во взломе обновлений Notepad++. Пока между публичным коммитом и доставкой апдейта проходит месяц, открытые репозитории фактически сами подсказывают хакерам готовые векторы атак.

#zeroday #Chrome #Windows
@SecLabNews

Сеть из 737 фейковых VPN-расширений — единая инфраструктура слежения массово собирала метаданные

Иллюзия богатого выбора в магазине Chrome Web Store обернулась масштабной угрозой приватности: исследователи обнаружили, что за сотнями внешне независимых VPN-расширений скрывается единый координационный центр. Целевой аудиторией этой грандиозной кампании стали именно русскоязычные пользователи, которых массово заманивали интерфейсами, скопированными у популярных заблокированных сервисов вроде NordVPN и Proton VPN.

Связать 737 разрозненных пакетов в одну слаженную операцию помогла банальная техническая небрежность самих разработчиков, оставивших в коде множество пересекающихся цифровых следов. Анализ внутренностей дополнений выявил более сотни общих управляющих доменов, одинаковые счетчики веб-аналитики и идентичные фрагменты кода, где везде фигурировал один и тот же рабочий каталог сборки «myxa-work» и поставщик услуг «Муха VPN».

Главная опасность такой централизации заключается в том, что весь поток браузерных данных от десятков тысяч жертв годами стекался в одну неконтролируемую точку. Хотя сами пароли или содержимое защищенных HTTPS-страниц операторы перехватить не могли, они получили полный сводный профиль активности пользователей: их исходные IP-адреса, историю посещений и точные маршруты всего трафика, что полностью уничтожает саму идею анонимности в сети.


#VPN, #Chrome, #УтечкаДанных
@SecLabNews