Google đang làm việc cật lực để trám lại lỗ hổng trong Google Toolbar. Lỗ hổng này cho phép các hacker đánh cắp dữ liệu hoặc cài đặt các phần mềm độc hại lên hệ thống. Cảnh báo được đưa ra bởi các nhà nghiên cứu vào hôm thứ ba.

Thiếu sót trong cơ chế cho phép người dùng thêm một nút mới trong Google Toolbar. Bởi vì Toolbar không tiến hành kiểm tra một cách toàn diện khi một nút mới được cài đặt. Do đó, hacker có thể tạo ra một nút mới trong khi người dùng tưởng rằng họ tải chúng về từ một trang web hợp pháp. Bằng phương pháp giả mạo Spoofing, kẻ tấn công có thể điều khiển để thực hiện các cuộc tấn công phishing hay tải về các tập tin độc hại (theo những bài viết của nhà nghiên cứu bảo mật Aviv Raff trên blog)

Raff đã đăng tải đoạn mã làm bằng chứng cho cách thức mà kẻ tấn công thực hiện với trình duyệt Internet Explorer. Người phát ngôn của google khẳng định vào hôm thứ ba rằng hãng đang cố gắng sửa lại lỗi trên.

Cuộc tấn công đòi hỏi phải qua các bước:

Đầu tiên, người dùng sẽ bị lừa để nhấn vào một liên kết trên trang web, từ đó sẽ xuất hiện một cửa sổ pop-up hỏi xem người dùng có muốn cài đặt một nút bất kỳ lên thanh toolbar của anh ta hay không. Bởi vì đây là một lỗ hổng bảo mật nên cảnh báo trông giống như bạn đang tiến hành download từ một trang web chính thống chẳng hạn như Google.com.

Sau khi nút mới được cài đặt và ngườ dùng nhấn lên nó thì lập tức sẽ thực thi việc tải về và và chạy các tập tin thực thi để cài đặt phần mềm độc hại.

Bởi vì người dùng phải trải qua nhiều bước trước khi trở thành nạn nhân của cuộc tấn công nên đây là một lỗi không quá nguy cấp. Theo lời của nhà nghiên cứu bảo mật độc lập, Marc Maiffret "Trong khi đang tìm hiểu, thì đây là một lỗi thuộc cấp độ nguy hiểm thấp so với các nguy cơ khác"

Đây không phải là lỗ hổng duy nhất của Google mà Raff phát hiện được trong thời gian qua. Vào tháng trước, anh này đã đưa ra một lỗi trong lập trình Web của trang Google.com có thể mở đường cho các kẻ tấn công. Bởi vì các nhà lập trình của Google không kiểm tra kỹ lưỡng các mã HTML được sinh ra bởi bộ máy tìm kiếm Google nên Raff có thể tạo ra một liên kết Google giả mạo. Để khi nạn nhân nhấn vào liên kết đó những đoạn mã trái phép sẽ được thực thi. Các loại liên kết như thế có thể lấy đi các tài khoản Google của nạn nhân hoặc điều khiển các cuộc tấn công giả danh khác.

Lỗi này đã được sửa bởi Google vài giờ sau khi Raff thông báo tuy nhiên bản thử nghiệm về lỗi này vẫn có thể khám phá tại địa chỉ sau http://www.finjan.com/MCRCblog.aspx?EntryId=1756

Vĩnh Duy (Theo PCWorld)