){kind=link}
Pesquisadores de segurança alertaram nesta semana sobre um problema grave no Chromium que permite que códigos JavaScript continuem rodando em segundo plano mesmo após o fechamento do navegador. A falha afeta navegadores como Google Chrome, Microsoft Edge, Brave e outros baseados na mesma engine.
O bug foi descoberto pela pesquisadora Lyra Rebane ainda em 2022, mas detalhes técnicos acabaram vazando antes de uma correção definitiva ser liberada.
smart_display
Nossos vídeos em destaque
Service Workers são explorados para manter scripts ativos
A vulnerabilidade envolve um componente chamado Service Worker. Esse recurso é usado por sites modernos para executar tarefas em segundo plano, como notificações, sincronização de dados e funcionamento offline. O problema é que um site malicioso pode abusar desse mecanismo para manter scripts ativos mesmo depois que o usuário fecha o navegador.
Na prática, isso significa que um simples acesso a uma página maliciosa poderia transformar o navegador da vítima em um cliente conectado aos servidores do invasor. Segundo Rebane, o processo continuaria funcionando silenciosamente em segundo plano, sem qualquer interação adicional do usuário.
Ataque não dá controle total do PC, mas permite abusos
O ataque não permite acesso direto ao sistema operacional nem roubo automático de arquivos pessoais. Ainda assim, os criminosos conseguem executar JavaScript remotamente dentro do ambiente do navegador. Isso abre espaço para abusos como criação de botnets, envio de tráfego malicioso e ataques distribuídos de negação de serviço.
A pesquisadora explicou que seria possível usar milhares de navegadores infectados para disparar requisições simultâneas contra servidores e serviços online. O navegador da vítima também poderia funcionar como intermediário para ocultar atividades maliciosas e mascarar a origem real de ataques.
)
Google marcou problema como corrigido antes da hora
O caso ganhou atenção porque o problema já havia sido marcado internamente como corrigido pelo time do Chromium. Em fevereiro deste ano, o bug recebeu status de “fixed” dentro do sistema do projeto. A pesquisadora inclusive recebeu uma recompensa de mil dólares pelo relatório através do programa de bugs do Google.
O problema começou quando as restrições de acesso ao relatório técnico foram removidas automaticamente. Isso aconteceu porque o sistema considerava que a falha já estava resolvida há mais de 14 semanas. Assim, detalhes internos da vulnerabilidade ficaram públicos temporariamente.
Pesquisadora descobriu que exploit ainda funcionava
Depois disso, Rebane decidiu testar novamente o exploit em versões recentes do Chrome e do Edge. O resultado mostrou que a vulnerabilidade ainda funcionava normalmente. Segundo ela, o comportamento ficou até mais discreto nas versões atuais do Edge.
)
Nas versões antigas, o exploit fazia aparecer um popup de download durante a execução. Agora, segundo a pesquisadora, o código continua ativo de forma completamente silenciosa. Isso reduz as chances de o usuário perceber que algo estranho está acontecendo no navegador.
Todos os navegadores Chromium podem ser afetados
O impacto atinge praticamente todos os navegadores baseados em Chromium. Além do Chrome e Edge, navegadores como Opera, Vivaldi e Arc também compartilham a mesma base tecnológica.
Especialistas destacam que o bug não quebra totalmente as proteções de sandbox do navegador. O invasor não assume controle completo do computador da vítima. Mesmo assim, a persistência indevida do JavaScript representa um cenário incomum e perigoso para ataques em larga escala.
)
Correção emergencial deve ser liberada em breve
Após a exposição pública, a expectativa é que o Google trate o problema como prioridade máxima. Como os detalhes técnicos ficaram acessíveis tempo suficiente para serem analisados, existe preocupação de que outros grupos tentem reproduzir o exploit antes da chegada de uma atualização definitiva.
Acompanhe o TecMundo nas redes sociais. Inscreva-se em nossa newsletter e canal do YouTube.