Mostra sommario Nascondi sommario
Una popolare estensione per bloccare gli annunci su YouTube è finita sotto la lente. Ricercatori indipendenti segnalano che Adblock for Youtube potrebbe sfruttare permessi e funzioni remote per leggere dati e controllare il browser degli utenti.
Permessi troppo estesi e perché contano
L’estensione in questione è scaricata milioni di volte e gode di una buona valutazione sul Chrome Web Store. Tuttavia, nel file manifest richiede il permesso di intervenire su tutte le pagine web.
Galaxy H1: in arrivo le cuffie over-ear di Samsung
Lenovo a IFA 2026: due notebook super sottili, uno con display OLED espandibile
In teoria basterebbe limitare le autorizzazioni ai soli domini di YouTube. In pratica il codice contiene un filtro che cerca la stringa “youtube.com” ovunque nell’URL.
Questo approccio apre una falla: una pagina che non è YouTube può contenere la stringa nella query o nel referrer. In quel caso l’estensione può comunque attivarsi.
Configurazione remota e scriplet: il punto critico
Ogni giorno l’estensione scarica dal server remoto la sua configurazione. I file includono regole di blocco e piccoli script, detti scriplet, da eseguire direttamente nelle pagine visitate.
Uno di questi scriplet crea elementi HTML dinamici. Al momento sembra inattivo, ma può essere riattivato semplicemente cambiando la configurazione sul server.
- La configurazione è remota e modificabile dallo sviluppatore.
- Lo scriplet può essere inserito nelle pagine in cui l’estensione si attiva.
- Una modifica lato server può trasformare funzionalità lecite in comportamento malevolo.
Come potrebbe concretizzarsi un attacco
Con il meccanismo descritto, l’estensione può iniettare codice anche in portali legittimi. Se un URL di terze parti contiene “youtube.com”, lo scriplet può scattare.
Sequenza possibile di abuso
- Il server invia una nuova regola che abilita lo scriplet.
- L’estensione esegue lo script su qualsiasi pagina il cui URL contiene la stringa target.
- Lo script apre o interagisce con pagine di servizi come Salesforce, Microsoft o Google.
- L’estensione può accedere ai dati dell’utente nelle pagine interessate e inviarli al backend remoto.
Segnali d’allarme e precedenti
Google in passato ha rimosso estensioni con la stessa infrastruttura perché contenevano malware. I ricercatori hanno collegato più componenti a uno stesso backend sospetto.
Adblock for Youtube esiste sullo store dal 2014. Nel tempo è cambiata la proprietà e il codice è stato riscritto più volte.
La versione analizzata dai ricercatori era la 7.2.2. Poco dopo è stata pubblicata la 7.2.4. Non è chiaro se le stesse funzioni siano ancora presenti.
Numeri, badge e fiducia degli utenti
L’estensione conta oltre 11 milioni di installazioni. Ha un rating alto e ha ricevuto il badge “Featured” da Google.
Molti utenti nelle recensioni dichiarano che rimuove efficacemente gli annunci su YouTube. Questo successo consolida la diffusione, ma non esclude il rischio tecnico.
Azioni che gli utenti possono valutare subito
- Controllare le estensioni nel browser e rimuovere quelle non indispensabili.
- Limitare i permessi delle estensioni quando possibile.
- Aggiornare il browser e usare soluzioni di sicurezza aggiornate.
- Monitorare le comunicazioni del Chrome Web Store e i report di sicurezza.
