Niektóre Malwarebytes Użytkownicy zauważyli ostatnio częste alerty dotyczące ochrony sieci podczas czytania wiadomości e-mail w interfejsie internetowym Yahoo Mail. Alerty te są spowodowane połączeniami w tle ze strony Yahoo Mail do zestawu domen stron trzecich, które nasze produkty i inne narzędzia bezpieczeństwa klasyfikują obecnie jako ryzykowne.
Co kryje się pod maską
Po otwarciu Yahoo Mail w przeglądarce strona ładuje różne osadzone komponenty do nawigacji, funkcji i metryk. W ramach tego interfejs odwołuje się do domen używanych do śledzenia i wyświetlania reklam, czasami w kontekście adresów URL, które zawierają… /ybar/mail.yahoo.com/ oraz długi zakodowany parametr. Ten zakodowany ciąg znaków często przekształca się w adres URL w postaci:
https://gpt.mail.yahoo.net/sandbox?client=novation&version=0.1&haq=1&cache=1
Wskazuje to, że ruch jest kierowany przez coś, co wygląda na komponent internetowy działający w środowisku izolowanym, który Yahoo może wykorzystywać m.in. do telemetrii, testowania infrastruktury lub funkcji pocztowych. Może to być również element procesu reklamowego lub śledzenia, ale na razie nie możemy z całą pewnością stwierdzić, do jakich celów Yahoo go wykorzystuje.
Niezależnie od intencji, wiele systemów zabezpieczeń wykryło te domeny przekierowujące i przypisało im niską reputację. Cechy charakterystyczne obejmują:
- Często zmieniające się, nieprzejrzyste subdomeny, które nie przypominają typowych adresów Yahoo przeznaczonych dla użytkowników
- Stosowanie zakodowanych parametrów i łańcuchowych przekierowań, które utrudniają użytkownikom, a czasem także specjalistom ds. bezpieczeństwa, natychmiastowe rozpoznanie ostatecznego miejsca docelowego
- Istniejące wykrycia i listy blokowanych adresów od innych dostawców, które klasyfikują tę infrastrukturę jako podejrzaną lub potencjalnie złośliwą
Z powodu tych sygnałów, Malwarebytes Ochrona sieci i Browser Guard blokujemy coraz większą listę powiązanych subdomen, aby chronić użytkowników. To właśnie dlatego niektórzy użytkownicy widzą powtarzające się alerty podczas korzystania z usługi Yahoo Mail.
O czym nie mówimy
Ważne jest, aby mieć jasność co do tego, co wiemy, a czego nie wiemy.
Nieustaliliśmy, czy sama usługa Yahoo Mail została naruszona ani czy firma Yahoo celowo rozpowszechnia złośliwe oprogramowanie za pośrednictwem swojej platformy pocztowej. Możemy jedynie stwierdzić, że komponenty zewnętrzne lub wewnętrzne wywoływane z poziomu interfejsu internetowego Yahoo Mail nawiązują połączenia za pośrednictwem domen, których działanie bardzo przypomina infrastrukturę powszechnie kojarzoną ze złośliwymi lub wprowadzającymi w błąd reklamami oraz śledzeniem użytkowników.
Z punktu widzenia bezpieczeństwa stwarza to niepotrzebne ryzyko. Każdy mechanizm, który wstrzykuje treści lub uruchamia komponenty w środowisku izolowanym poprzez nieprzejrzyste łańcuchy przekierowań, mógłby – w przypadku nadużycia lub obejścia zabezpieczeń w przyszłości – narazić użytkowników na szkodliwe treści, nawet jeśli nigdy nie kliknęliby podejrzanego linku.
Zablokowanie tych domen stanowi środek zapobiegawczy zgodny z naszymi standardowymi zasadami bezpieczeństwa.
Dlaczego Malwarebytes zablokowano te przekierowania
Nasza decyzja o zablokowaniu tych połączeń wynika z połączenia danych dotyczących zachowań technicznych oraz informacji o reputacji pochodzących od podmiotów zewnętrznych:
- Przekierowania są uruchamiane przez elementy osadzone w interfejsie Yahoo Mail, a nie przez użytkowników celowo odwiedzających te domeny
- Infrastruktura opiera się na często zmieniających się, nieopisujących treści domenach i subdomenach – jest to schemat, który często spotykamy w złośliwych lub mających na celu uniknięcie wykrycia systemach reklamowych i śledzących
- Wielu dostawców rozwiązań zabezpieczających oraz automatyczne serwisy monitorujące reputację już teraz oznaczają te domeny jako ryzykowne lub złośliwe, a niektórzy zauważyli, że są one powiązane z niepożądaną lub szkodliwą działalnością
Z tego powodu, Malwarebytes Produkty Yahoo Mail obecnie blokują połączenia z tymi domenami zewnętrznymi, gdy są one wywoływane w ramach korzystania z witryny Yahoo Mail. Nie oznacza to, że cała usługa Yahoo Mail jest uważana za szkodliwą. Oznacza to, że przerywamy w szczególności wąski zestaw połączeń w tle, które stanowią podwyższone ryzyko.
Co to oznacza dla użytkowników
Jeśli korzystasz z Yahoo Mail w przeglądarce z Malwarebytes włączony, możesz zobaczyć:
- Ochrona sieci lub alerty MWAC odnoszące się do domen zaangażowanych w śledzenie i reklamowanie podczas czytania lub pisania wiadomości e-mail
- Wiele powiadomień w krótkim czasie, ponieważ interfejs pocztowy może podejmować kolejne próby lub przełączać się między różnymi subdomenami lub adresami IP z tej samej rodziny
W większości przypadków sama treść wiadomości e-mail nadal się wyświetla, choć niektóre osadzone elementy, wskaźniki lub treści reklamowe mogą się nie załadować lub działać inaczej.
Jak zachować bezpieczeństwo i ograniczyć zakłócenia
Nie musisz rezygnować z ochrony, aby nadal korzystać z Yahoo Mail. Oto kilka praktycznych wskazówek, z których możesz skorzystać:
- Włącz ochronę Malwarebytes
Opuszczanie ochrony sieci i Browser Guard zapewnia, że blokady pozostaną aktywne, jeśli przekierowania zmienią zachowanie lub w przyszłości zaczną wyświetlać szkodliwe treści. - Należy unikać dodawania podejrzanych domen do listy dozwolonych, np.
. Chociaż technicznie możliwe jest dodanie wyłączeń dla poszczególnych domen, spowodowałoby to, że ruch z tych domen byłby wyświetlany w przeglądarce bez filtrowania. Nie zalecamy tego, chyba że w pełni rozumiesz i akceptujesz związane z tym ryzyko. - Korzystaj windows trybie incognito windows Yahoo Mail
Korzystanie z serwisu Yahoo Mail w trybie prywatnym lub incognito może pomóc w ograniczeniu przechowywania niektórych danych śledzących i reklamowych, ponieważ przeglądarka usuwa pliki cookie i dane z pamięci lokalnej po zamknięciu okna. - Okresowo usuwaj pliki cookie i dane witryn
Jeśli pojawiają się powtarzające się powiadomienia, usunięcie plików cookie i danych z pamięci podręcznej związanych z serwisem Yahoo może ograniczyć niektóre działania śledzące, które powodują te przekierowania. - Rozważ opcje z mniejszą liczbą reklam
Yahoo oferuje płatne plany, które redukują lub usuwają reklamy, a użytkownicy mogą również korzystać z renomowanych rozszerzeń blokujących treści Malwarebytes aby ograniczyć zachowania oparte na reklamach w interfejsach poczty internetowej.
Nasze bieżące monitorowanie
Domeny i infrastruktura zaangażowane w te przekierowania są obsługiwane poza Malwarebytes , a ich konfiguracja lub zachowanie mogą się zmieniać z czasem. Aktywnie monitorujemy dane telemetryczne, raporty z sandboxów i dane dotyczące reputacji tych domen i powiązanej infrastruktury. Będziemy dostosowywać nasze metody wykrywania w przypadku pojawienia się nowych informacji.
Naszym priorytetem jest zapewnienie bezpieczeństwa użytkowników przy jednoczesnym zachowaniu przejrzystości co do przyczyn uruchamiania mechanizmów ochronnych, zwłaszcza w popularnych usługach, takich jak poczta internetowa. Jeśli dowiemy się więcej na temat dokładnej roli tego komponentu w serwisie Yahoo Mail lub jeśli firma Yahoo udzieli dodatkowych wyjaśnień, odpowiednio zaktualizujemy ten artykuł.
Powstrzymaj zagrożenia, zanim wyrządzą jakąkolwiek szkodę.
Malwarebytes Browser Guard Automatycznie blokuje strony phishingowe i złośliwe witryny. Za darmo, wystarczy jedno kliknięcie, aby zainstalować. Dodaj do swojej przeglądarki →
