Dat malware zich vermomt als Firefox extensie is helemaal niet vreemd, volgens beveiligingsonderzoeker Petko Petkkov is Mozilla's browser namelijk een uitstekend malware platform. Vorige week woensdag kwam de Roemeense virusbestrijder BitDefender met de waarschuwing dat het een Trojaans paard had ontdekt dat zich voordoet als een Firefox plugin en door een ander virus op de computer wordt geïnstalleerd. Eenmaal in de browser actief, steelt het inloggegevens van online bankrekeningen. Het ging hier trouwens om de GreaseMonkey plugin.

Petkov is verbaasd dat criminelen niet eerder met deze aanpak kwamen: "Ik vraag me af waarom criminelen er nu pas achter komen dat Firefox een uitstekend malware platform is." Zelf had hij ook al deze aanvalsvector bedacht en wilde die tijdens de Black Hat conferentie demonstreren. Het idee was om een kwaadaardige plugin met een backdoor op addons.mozilla.org te plaatsen. "Voor duidelijke redenen zag ik af van het plan, maar de aanval is zeer waarschijnlijk."

Onbetrouwbaar
De reden dat Firefox zich zo goed leent voor malware is dat de browser uit JavaScript, XML en andere code bestaat die lastig te doorgronden is. "Het verbergen van dingen is kinderspel, met name als de meeste extensies als een berg rotzooi eruit zien." Petkov doelt dan op jar bestanden, encodering, URL protocollen en nog een aantal andere zaken. Volgens de onderzoeker zijn er honderden manieren om malware te verbergen. "Soms kijk je ernaar en realiseer je niet eens dat het er is." Hij heeft dan zelf ook geen enkel vertrouwen in de uitbreidingen voor de opensource browser.

Zelfs als Mozilla een granulair beveiligingsmodel voor de Firefox extensies implementeert, net zoals de ontwikkelaars van Chrome nu doen, denkt Petkov dat het niet voldoende is. Het probleem is dat gebruikers de meeste exenties gewoon toe zullen staan. "Het komt erop neer dat web-technologieën enorm complex zijn. Een nachtmerrie om de te debuggen en een perfect medium om kwaadaardige code in te verbergen. Geen FUD, maar de harde realiteit."