В Google Chrome появится новая функция защиты от атак «drive-by download»

Функция блокировки автоматических загрузок будет работать во всех версиях Chrome, за исключением версии для iOS.

Инженеры Google планируют реализовать в браузере Chrome новую функцию блокировки автоматической загрузки файлов, инициируемой рекламными баннерами на web-сайтах. Таким образом компания намерена обеспечить защиту пользователей от атак типа «drive-by download». «В случае с рекламой загрузка не имеет большого смысла. На практике это происходит довольно редко […] и только небольшое число рекламных объявлений инициируют автоматическую загрузку. Блокировка загрузок, которые инициируются внутри ad frame и не требуют подтверждения пользователя, позволит сделать Сеть менее агрессивной и более безопасной», — указывается в блоге компании.

Согласно документации Google, «ad frame» представляет собой обычный iframe, помеченный Google как рекламный, то есть практически любой iframe, который компания сочтет рекламой. Описание концепции техники защиты пользователей Chrome доступно здесь .

При блокировке автоматической загрузки браузер не будет отображать никакие уведомления. Как отмечается, функционал будет работать только в случае, если пользователь не взаимодействует с рекламным баннером. Если пользователь нажмет на объявление, браузер разрешит автоматическую загрузку файлов. По мнению специалистов Google, новый функционал не окажет большого влияния на производительность браузера.

Функция блокировки автоматических загрузок будет работать во всех версиях Chrome, за исключением версии для iOS, где Chrome использует движок WebKit.

В январе нынешнего года Google анонсировала функцию автоматической блокировки атак вида «drive-by downloads», осуществляемых с помощью вредоносных iframe, внедренных в страницы сайтов. Функционал появится в версии Chrome 74, запланированной к выходу весной 2019 года. Google не раскрыла сроки реализации второй функции, но ожидается, что она станет доступна в нынешнем году.

Drive-by или drive-by-download – теневая загрузка (без ведома пользователя) на компьютер информации при использовании уязвимостей, специально сконфигурированных эксплоитов, ссылок и скриптов.