Niektórzy Malwarebytes zauważyli ostatnio częste powiadomienia dotyczące ochrony sieciowej podczas przeglądania poczty w interfejsie internetowym Yahoo Mail. Powiadomienia te wynikają z połączeń nawigacyjnych nawiązywanych w tle przez stronę Yahoo Mail z grupą domen stron trzecich, które nasze produkty oraz inne narzędzia zabezpieczające klasyfikują obecnie jako ryzykowne.
Co kryje się pod maską
Po otwarciu serwisu Yahoo Mail w przeglądarce strona ładuje różne osadzone elementy służące do nawigacji, obsługi funkcji i pomiaru statystyk. W ramach tego procesu interfejs nawiązuje połączenia z domenami takimi jak cook.howduhtable.com oraz powiązane subdomeny, niekiedy w kontekście adresów URL zawierających /ybar/mail.yahoo.com/ oraz długi zakodowany parametr. Ten zakodowany ciąg znaków często przekształca się w adres URL w postaci:
https://gpt.mail.yahoo.net/sandbox?client=novation&version=0.1&haq=1&cache=1
Wskazuje to, że ruch jest kierowany przez coś, co wygląda na komponent internetowy działający w środowisku izolowanym, który Yahoo może wykorzystywać m.in. do telemetrii, testowania infrastruktury lub funkcji pocztowych. Może to być również element procesu reklamowego lub śledzenia, ale na razie nie możemy z całą pewnością stwierdzić, do jakich celów Yahoo go wykorzystuje.
Niezależnie od intencji, wiele systemów zabezpieczeń wykryło te domeny przekierowujące i przypisało im niską reputację. Cechy charakterystyczne obejmują:
- Często zmieniające się, nieprzejrzyste subdomeny, które nie przypominają typowych adresów Yahoo przeznaczonych dla użytkowników
- Stosowanie zakodowanych parametrów i łańcuchowych przekierowań, które utrudniają użytkownikom, a czasem także specjalistom ds. bezpieczeństwa, natychmiastowe rozpoznanie ostatecznego miejsca docelowego
- Istniejące wykrycia i listy blokowanych adresów od innych dostawców, które klasyfikują tę infrastrukturę jako podejrzaną lub potencjalnie złośliwą
W związku z tymi sygnałami Malwarebytes Protection i Browser Guard coraz większą liczbę powiązanych subdomen w celu zapewnienia bezpieczeństwa użytkownikom, co wyjaśnia, dlaczego niektórzy użytkownicy widzą powtarzające się ostrzeżenia podczas korzystania z serwisu Yahoo Mail.
O czym nie mówimy
Ważne jest, aby mieć jasność co do tego, co wiemy, a czego nie wiemy.
Nieustaliliśmy, czy sama usługa Yahoo Mail została naruszona ani czy firma Yahoo celowo rozpowszechnia złośliwe oprogramowanie za pośrednictwem swojej platformy pocztowej. Możemy jedynie stwierdzić, że komponenty zewnętrzne lub wewnętrzne wywoływane z poziomu interfejsu internetowego Yahoo Mail nawiązują połączenia za pośrednictwem domen, których działanie bardzo przypomina infrastrukturę powszechnie kojarzoną ze złośliwymi lub wprowadzającymi w błąd reklamami oraz śledzeniem użytkowników.
Z punktu widzenia bezpieczeństwa stwarza to niepotrzebne ryzyko. Każdy mechanizm, który wstrzykuje treści lub uruchamia komponenty w środowisku izolowanym poprzez nieprzejrzyste łańcuchy przekierowań, mógłby – w przypadku nadużycia lub obejścia zabezpieczeń w przyszłości – narazić użytkowników na szkodliwe treści, nawet jeśli nigdy nie kliknęliby podejrzanego linku.
Zablokowanie tych domen stanowi środek zapobiegawczy zgodny z naszymi standardowymi zasadami bezpieczeństwa.
Dlaczego Malwarebytes te przekierowania
Nasza decyzja o zablokowaniu tych połączeń wynika z połączenia danych dotyczących zachowań technicznych oraz informacji o reputacji pochodzących od podmiotów zewnętrznych:
- Przekierowania są uruchamiane przez elementy osadzone w interfejsie Yahoo Mail, a nie przez użytkowników celowo odwiedzających te domeny
- Infrastruktura opiera się na często zmieniających się, nieopisujących treści domenach i subdomenach – jest to schemat, który często spotykamy w złośliwych lub mających na celu uniknięcie wykrycia systemach reklamowych i śledzących
- Wielu dostawców rozwiązań zabezpieczających oraz automatyczne serwisy monitorujące reputację już teraz oznaczają te domeny jako ryzykowne lub złośliwe, a niektórzy zauważyli, że są one powiązane z niepożądaną lub szkodliwą działalnością
Z tego powodu Malwarebytes blokują obecnie połączenia z tymi domenami zewnętrznymi, gdy są one wywoływane w ramach serwisu Yahoo Mail.Nieoznacza to, że cały serwis Yahoo Mail jest uznawany za złośliwy. Oznacza to, że celowo przerywamy tylko wąski zestaw wywołań w tle, które stwarzają podwyższone ryzyko.
Co to oznacza dla użytkowników
Jeśli korzystasz z Yahoo Mail w przeglądarce z Malwarebytes , może pojawić się następujący komunikat:
- Powiadomienia dotyczące ochrony sieci lub MWAC odnoszące się do domen takich jak
cook.howduhtable.comlub podobne nazwy podczas czytania lub pisania wiadomości e-mail - Wiele powiadomień w krótkim czasie, ponieważ interfejs pocztowy może podejmować kolejne próby lub przełączać się między różnymi subdomenami lub adresami IP z tej samej rodziny
W większości przypadków sama treść wiadomości e-mail nadal się wyświetla, choć niektóre osadzone elementy, wskaźniki lub treści reklamowe mogą się nie załadować lub działać inaczej.
Jak zachować bezpieczeństwo i ograniczyć zakłócenia
Nie musisz rezygnować z ochrony, aby nadal korzystać z Yahoo Mail. Oto kilka praktycznych wskazówek, z których możesz skorzystać:
- Nie wyłączaj Malwarebytes
Pozostawienie Browser Guard funkcji Web Protection i Browser Guard gwarantuje, że blokady pozostaną aktywne, gdyby te przekierowania zmieniły swoje działanie lub zaczęły wyświetlać szkodliwe treści w przyszłości. - Należy unikać dodawania podejrzanych domen do listy dozwolonych, np.
. Chociaż technicznie możliwe jest dodanie wyłączeń dla poszczególnych domen, spowodowałoby to, że ruch z tych domen byłby wyświetlany w przeglądarce bez filtrowania. Nie zalecamy tego, chyba że w pełni rozumiesz i akceptujesz związane z tym ryzyko. - Korzystaj windows trybie incognito windows Yahoo Mail
Korzystanie z serwisu Yahoo Mail w trybie prywatnym lub incognito może pomóc w ograniczeniu przechowywania niektórych danych śledzących i reklamowych, ponieważ przeglądarka usuwa pliki cookie i dane z pamięci lokalnej po zamknięciu okna. - Okresowo usuwaj pliki cookie i dane witryn
Jeśli pojawiają się powtarzające się powiadomienia, usunięcie plików cookie i danych z pamięci podręcznej związanych z serwisem Yahoo może ograniczyć niektóre działania śledzące, które powodują te przekierowania. - Rozważ opcje ograniczające wyświetlanie reklam
. Serwis Yahoo oferuje płatne plany, które ograniczają lub całkowicie eliminują reklamy, a użytkownicy mogą również korzystać z renomowanych rozszerzeń blokujących treści w połączeniu z Malwarebytes ograniczyć działania związane z reklamami w interfejsach poczty internetowej.
Nasze bieżące monitorowanie
Domeny i infrastruktura związane z tymi przekierowaniami są obsługiwane poza Malwarebytes, a ich konfiguracja lub działanie mogą ulegać zmianom w miarę upływu czasu. Aktywnie monitorujemy dane telemetryczne, raporty z piaskownicy oraz dane dotyczące reputacji tych domen i powiązanej infrastruktury, a w razie pojawienia się nowych informacji dostosujemy nasze mechanizmy wykrywania.
Naszym priorytetem jest zapewnienie bezpieczeństwa użytkowników przy jednoczesnym zachowaniu przejrzystości co do przyczyn uruchamiania mechanizmów ochronnych, zwłaszcza w popularnych usługach, takich jak poczta internetowa. Jeśli dowiemy się więcej na temat dokładnej roli tego komponentu w serwisie Yahoo Mail lub jeśli firma Yahoo udzieli dodatkowych wyjaśnień, odpowiednio zaktualizujemy ten artykuł.
Powstrzymaj zagrożenia, zanim wyrządzą jakąkolwiek szkodę.
Malwarebytes Browser Guard automatycznieBrowser Guard strony phishingowe i złośliwe witryny. Bezpłatny, wystarczy jedno kliknięcie, aby zainstalować. Dodaj go do swojej przeglądarki →
