Популярный блокировщик рекламы получил опасный механизм удаленного управления

30.06.2026

Специалисты обнаружили рискованную архитектуру в расширении Adblock for YouTube для Chrome. У расширения более 11 млн установок, высокий рейтинг и многолетняя история в Chrome Web Store, но его текущая логика потенциально позволяет удаленно внедрять JavaScript на сайты, которые открывает пользователь.

Проблема не в том, что расширение уже распространяет вредоносную нагрузку. Исследователи не зафиксировали активной эксплуатации. Риск связан с тем, что расширение запрашивает доступ ко всем сайтам через <all_urls> и раз в сутки получает правила с удаленного сервера.

В этих правилах есть механизм scriptletsRules, который может управлять внедрением скриптов на страницы. При определенной серверной конфигурации это дает возможность выполнить код прямо в контексте открытого сайта - без обновления расширения, новой проверки Chrome Web Store и видимого предупреждения для пользователя.

Дополнительная проблема в фильтре, который должен ограничивать работу расширения YouTube. Проверка ищет строку youtube.com в полном URL, а не валидирует домен. Поэтому условие может сработать даже на стороннем сайте, если youtube.com окажется в параметрах ссылки.

В демонстрационном сценарии специалисты показали, как такая логика может привести к чтению данных из Salesforce-сессии пользователя. Теоретически под угрозой могут оказаться веб-почта, корпоративные SaaS-сервисы, админ-панели, внутренние инструменты и другие страницы, где пользователь уже авторизован.

Авторы исследования также указывают на тревожную историю вокруг расширения: смену владельца, расширение полномочий и связь с другими adblock-расширениями, которые ранее удалялись из Chrome Web Store за вредоносную активность.

Организациям рекомендуют проверять расширения не только по рейтингу и числу установок, но и по реальным разрешениям, удаленным конфигурациям, истории владельца и способности выполнять код внутри рабочих браузерных сессий.