В разных странах владельцы онлайн-СМИ пытаются бороться с блокировщиками рекламы. Они вводят платную подписку, распознают блокировщики техническими средствами, могут ограничить функциональность сайта, взывают к совести читателей. Издатели в Германии решили вообще не мелочиться — и сразу подали в суд на разработчика Eyeo GmbH, чья программа Adblock Plus якобы «нарушает целостность онлайнового продукта», то есть сайта СМИ. Истец считает также, что Владимир Палант с соратниками из Eyeo используют своеобразный «шантаж» издателей, сначала блокируя рекламу на сайте, а потом продавая место в белом списке разрешённой рекламы. Бизнес-модель очень интересная: блокировщик рекламы получает от сайта долю дополнительной прибыли, которая получена благодаря отключению блокировки рекламы на данном сайте. Они делят прибыль, заработанную только на пользователях Adblock Plus.

Скриншот: SwiftOnSecurity

Неизвестный злоумышленник наглядно показал, что можно проникнуть в официальный каталог расширений Google Web Store с расширением под чужим названием, с чужим логотипом — и с помощью поисковой оптимизации и ключевых слов привлечь десятки тысяч пользователей. Фальшивое расширение AdBlock Plus не имеет ничего общего с оригинальным AdBlock Plus, однако по состоянию на вечер 9 октября 2017 года его установили 37 477 пользователей, прежде чем оно привлекло внимание специалистов по безопасности SwiftOnSecurity, которые затвитили эту информацию. Только тогда Google заметила фальшивку и удалила из каталога.

Если у вас последняя версия Chrome/Chromium и установлено расширение для блокировки рекламы вроде uBlock или AdBlock Plus, то вы могли заметить странное изменение в работе блокировщика. После обновления на последнюю версию Chrome/Chromium 45 в видеороликах YouTube снова появилась реклама. В начале некоторых видеороликов приходится просмаnривать рекламу продолжительностью до трёх минут.

Несколько дней после выхода новой версии браузера проблему обсуждали в баг-трекере Chromium и на форуме разработчиков uBlock. Как выяснилось, баг затронул все блокировщики рекламы, а блокировка отключилась не только на YouTube, но ещё на Spotify и некоторых других сайтах.

К счастью, «баг» в браузере легко устранить самостоятельно.

Компания Google всё-таки вспомнила принцип Don't be evil и отказалась от планируемых изменений в API браузера Chromium, из-за которых становилась нефункциональными большинство блокировщиков рекламы и некоторые другие расширения.

Решение принято после публикации исследования, насколько разные блокировщики рекламы замедляют работу Chromium (см. выше). Оказалось, что эти задержки настолько мизерные, что их вряд ли можно считать причиной для введения нового API. Через несколько часов после появления этого один из разработчиков Chromium официально огласил решение отложить новые API.

При соблюдении ряда условий, опция фильтра $rewrite, внедренная в AdBlock, AdBlock Plus и uBlock с обновлением 3.2 от 17 июля 2018 года, позволяет выполнять произвольный код на отображаемой пользователю веб-странице, сообщается в блоге armin.dev.

Вот как описывается проблемная функция в самом патчноуте AdBlock:

В этом патче реализована новая опция фильтра $rewrite, которая позволяет авторам списков фильтров предотвращать показ (в основном это касается видео) рекламных объявлений, которые ранее не могли быть заблокированы на ряде веб-сайтов.

Описываемая уязвимость затрагивает все три упомянутых блокировщика рекламы, суммарная аудитория которых превышает 100 млн пользователей. Использовать ее можно для атаки на любой веб-сервис, включая и не ограничиваясь, например, любым из ресурсов Google. Проблема носит повсеместный характер, то есть атака с одинаковой успешностью может быть проведена на любом популярном браузере и не зависит от его версии.

Уязвимость просуществовала почти 9 месяцев и была найдена только сейчас.

Как и было обещано, Mozilla перенесла первое расширение, uBlock Origin, из Программы рекомендуемых расширений в ночную версию Firefox Preview (кодовое название «Fenix»). Уже сейчас его можно установить и включить блокировку рекламы в следующей версии Firefox для Android.