أعلنت شركتا Google وMicrosoft عن سحب إضافة ModHeader الشهيرة من متجري Chrome وEdge بعد أن كشف باحثون أمنيون عن وجود جامع بيانات مخفي داخل نسختها الرسمية، رغم أن هذا الجامع كان في وضعية خاملة ولم يُثبت أنه جمع أو أرسل أي بيانات فعلية. الإضافة، التي يستخدمها نحو 1.6 مليون شخص، كانت تؤدي وظيفتها الأساسية في تعديل رؤوس HTTP، لكنها تضمنت أيضًا شيفرة مصغرة قادرة على إنشاء بصمة للجهاز وتخزين أسماء النطاقات التي يزورها المستخدم، ثم إرسالها مشفرة إلى خادم خارجي.
آلية عمل الجامع الخفي
وفقًا لتحليل شركة Stripe OLT البريطانية، فإن النسخة 7.0.18 من الإضافة كانت تحتوي على نظام ثانوي يعمل كالآتي:
- إنشاء بصمة للجهاز عند التشغيل الأول.
- تخزين أسماء النطاقات التي يزورها المستخدم حتى 1000 نطاق.
- تشفير البيانات باستخدام مفتاح ثابت.
- إرسال البيانات يوميًا إلى نطاق مشبوه (api.stanfordstudies[.]com).
لكن النظام كان يتوقف دائمًا بسبب قائمة سماح فارغة، ما يعني أن الجامع لم يُفعّل عمليًا. مع ذلك، مجرد وجوده داخل إضافة موثوقة أثار مخاوف كبيرة.
خلفية وتحليل
الإضافة كانت قد أثارت جدلًا سابقًا في عام 2023 بسبب إدخال إعلانات في نتائج البحث، ما دفع البعض للتشكيك في هوية الجهة المالكة لها بعد ذلك التاريخ. الباحثون أشاروا إلى أن البنية التحتية المرتبطة بالنطاقات المشبوهة مرتبطة بخوادم أمازون، مع إشارات ضعيفة إلى مشغل يتحدث الصينية، لكن لم يتم تحديد جهة بعينها.
القضية تشبه نمطًا معروفًا في عالم الأمن السيبراني، حيث يتم شراء إضافات شائعة ثم تحويلها إلى أدوات لجمع البيانات، كما حدث مع إضافات أخرى في السنوات الماضية.
توصيات للمستخدمين
ينصح الخبراء باتخاذ الخطوات التالية:
- إزالة إضافة ModHeader من Chrome وEdge فورًا.
- تدوير المفاتيح السرية مثل API Keys وTokens إذا تم استخدامها داخل الإضافة.
- حظر النطاقات المشبوهة مثل stanfordstudies[.]com وextensions-hub[.]com عبر أنظمة DNS والوكيل.
- مراجعة سجلات الشبكة لرصد أي اتصالات مشبوهة مرتبطة بمعرف الإضافة.
