Sparalarm von Chip.de geblockt

Abermals möchte ich vor chip.de warnen ich hatte es hier Warnung vor Downloads auf chip.de schon einmal getan, dort ging es aber allgemein um Downloads und zwar um die manuellen Downloads, der eine von Mozilla nicht frei gegebenen Firefox herunter lud.

Jetzt möchte ich über den Installer berichten. Ich schreibe das hier in diese Rubrik Allgemein, da es um die allgemeine Sicherheit von Firefox geht, die hier untergraben wird. (Falls Admin/Mod anderer Meinung sind kann es auch gerne verschoben werden)

Den Chip Installer bekommt man wenn man innerhalb des roten Rahmens drauf klickt

Einmal ausgeführt, lädt er das Programm später runter, doch erst einmal werden diverse "Sponsored Angebote" versucht einem unter zu jubeln, die man nur wenn man genau aufpasst abwählen kann (wie bei x anderen Installern eben auch). Die Angebote wechseln immer und man wird heute nicht mehr die gleichen erhalten wie vor 3 Tagen.

Soweit nix neues.

Ein "Angebot" davon war Sparalarm, habe ich erst weg geklickt, nach der Aufforderung Wollen sie wirklich blablabla dann doch auf ja geklickt und das Ding installiert. Ist ja nur ne Erweiterung ... aber weit gefehlt.

Das Teil installiert sich nach Program Files (x68)\sparalarm und installiert im Firefox die Erweiterung Sparalarm.

Wer nun denkt er könne einfach wieder die Erweiterung entfernen und sparalarm via Systemsteuerung auch. Kann man machen und es ist zunächst auch alles weg aber klammheimlich hat sich bei der Installation auch eine user.js in die Firefox-Profile geschoben und nachdem die prefs.js die Werte von der user.js übernommen hat, wurde diese user.js auch wieder gelöscht.

In der prefs.js stehen nun die manipulierten Einträge wie

Ein gefälschter Server für die Blocklist URL (zu moziIIa.com also zu moziiia.com denn die beiden II sind keine kleinen L sondern große i )

Die Telemetrie Daten werden auch an gefälschte Server geschickt (moziiia.org)

Die Liste für geblockte Erweiterungen wird deaktiviert und somit können schädliche Erweiterungen nicht mehr geblockt werden durch diese Liste

usw.

Ich habe das alles dokumentiert gemeldet an einen Addon Reviewer und das führte letztendlich zur Blockierung

https://blocked.cdn.mozilla.net/19f599bd-2226-…5fd106fc3d.html

https://bugzilla.mozilla.org/show_bug.cgi?id=1586677

Die Erweiterung an sich war wahrscheinlich nicht einmal schädlich, aber die Art und Weise wie diese verteilt wurde
in dem der Standard-Sideloading Prozess aushebelt wurde und die Zustimmung des Users umgangen wurde, führte zur Blockierung.

Man kann auch davon ausgehen, dass die Person/Firma, die das Sponsoring im Installer gebucht hat, auch der Autor der Erweiterung ist.

in dem Fall wohl

sparalarm.chip.de/impressum (gleich mal auf archive.org verlinkt, falls die Seite mal weg verschwinden sollte )

Jetzt darf sich jeder selbst ne Meinung bilden über diese Seite. und gucken ob man selbst betroffen ist/war.

//hm. Cliqz und Burda seh ich da. Gibt es da eigentlich aktiv noch eine Partnerschaft mit Mozilla oder war das mal?

Danke für die Links. Ich fand auch noch https://www.mozilla.org/de/privacy/arc…-cliqz/2018-06/

Darin steht u.a.

Zitat

Einer unserer Technologiepartner ist die Cliqz GmbH, ein deutsches Unternehmen im Besitz von Hubert Burda Media und Mozilla, dem Entwickler von Firefox.

Den Satz kapier ich nicht ganz. Wer (welcher Name?) ist nun Entwickler von Firefox?

Zitat von Sören Hentzschel

Mozillas Beteiligung an der Cliqz GmbH ändert natürlich nichts am Vorgehen, wenn die Praktiken bezüglich der Erweiterungs-Installation eines Produktes einer Tochterfirma nicht den Richtlinien entsprechen.

Das hätte ich auch nicht anders erwartet, ansonsten wäre das mehr als unseriös. Was mich wundert ist diese Partnerschaft bzw. Minderheitenbeteiligung mit einem Unternehmen, was solche Methoden anwendet.

Ein weiterer Link zu o.g. (geblockten) Erweiterung sagt

Zitat von burda-forward.de

Wie bei einem klassischen Affiliate-Geschäft erhält CHIP Sparalarm bei Kaufabschluss oder Lead-Generierung eine Provision von den jeweiligen Anbietern.

Genau darum scheint es zu gehen. Das Geschwurbel davor von Datenschutz usw. können sie sich sparen wenn sie Methoden anwenden, die Sicherheiten von Firefox deaktiviert, Telemetriedaten an falsche Server schicken usw.

Dass die Erweiterung wohl ausschließlich durch o.g. Methode installiert wurde sieht man auch gut auf der (inzwischen geschlossenen) Seite von AMO

Screenshot aus Google Cache vom 6.10.19

970 Benutzer und keine einzige Bewertung, was darauf hin deutet, dass die Installionen keine bewusste Entscheidung der Nutzer waren.

Das gleiche Vorgehen war übrigens schon bei Francezon (auch eine inzwischen geblockte Erweiterung die ich gemeldet hatte mit dem gleichen Vorgehen durch den chip Installer. Bei https://app.any.run/tasks/a5c03eff…0-d5f62c0837d2/ kann man das Verhalten wie es vonstatten geht sich sehr gut ansehen. Die dort aufgeführte instui.exe zeigt bei "More Infos" wohin was installiert wird inkl. der Daten der user.js

Diese Erweiterung hatte übrigens 47.878 Benutzer und auch keine einzige Bewertung. (somit wohl auch nur durch o.g. Methode unfreiwillig installiert worden)

Nur der Vollständigkeit halber: Der Installer von ComputerBild hat ähnliche/gleiche Methoden. Führte auch durch meine Meldung zur Blockierung von ShoppingGuru

Ich fände es sauberer, wenn Mozilla komplett frei von Firmen wäre, die solche Methoden anwenden.

Zitat von Sören Hentzschel

Mozilla - die direkt davor stehen.

*kopfklatsch* irgendwie habe ich den Satz immer mit falscher Betonung, falscher Kommainterpretation gelesen. Einmal richtig gelesen und man schlägt sich an den Kopf... wie konnte ich nur.

Zitat von Sören Hentzschel

Inwieweit derzeit überhaupt noch eine aktive Zusammenarbeit stattfindet, weiß ich gar nicht.

ok. nicht weiter schlimm. Genau das hätte mich nämlich interessiert. Aber vielleicht erfährt man irgendwann mal etwas mehr darüber. Wahrscheinlich spätestens dann, wenn die Zusammenarbeit beendet wird.

uii, gerade gelesen https://www.heise.de/newsticker/mel…en-4575039.html

Sehr gute Entscheidung, wie ich finde. Das nimmt nämlich überhand und die Analyse von solchem Vorgehen wie beim o.g. Sparalarm von chip.de ist sehr schwierig und aufwändig.

Was genau meinst du damit?

Danke für die Info. Gibt es dafür auch einen Link?

Ich empfinde das zumindest gut. Die Beteiligung an Cliqz hatte für mich persönlich immer so ein Geschmäckle.

Übrigens zu dem Chip Sparalarm, was via Sideloading in Firefox kam und viele Sicherheitsmechanismen (about:config Werte) veränderte:

Da bin ich neulich drüber gestolpert, dass es dazu für die betroffenen Nutzer Hotfixes gibt von Mozilla https://addons.mozilla.org/de/firefox/user/15360506/

Also selbst wenn extensions.blocklist.enabled auf false stand, greift die Erweiterung völlig automatisch und stellt alle veränderten Standardwerte wieder her und deinstalliert die betroffene Erweiterung. u.a. auch für o.g. Francezon und ShoppingGuru und andere.

Eine neue Erweiterung von chip Sparalarm ist auch wieder auf AMO, aber die Erweiterung an sich war auch eher nicht das Problem, sondern die Art und Weise wie sie vom Entwickler verteilt wurde.

Vielen Dank