ModHeader bị gỡ khỏi Chrome và Edge do phát hiện cơ chế thu thập lịch sử duyệt web “ngủ yên”
"Google and Microsoft removed the ModHeader browser extension from their stores after researchers found a dormant browsing-history collection mechanism in the signed official build, affecting roughly 1.6 million installs across Chrome and Edge. The collector was disabled by an empty allow-list and no evidence showed data exfiltration, but the extension still contained code to fingerprint devices, store encrypted domain history locally, and periodically upload it to a remote endpoint if enabled; users are advised to uninstall the extension and rotate any secrets entered into it."
Rủi ro chủ yếu đến từ khả năng thu thập và gửi dữ liệu duyệt web dù đang bị vô hiệu hóa: device fingerprint + mã hóa domain + cơ chế upload theo lịch. Hiện chưa có bằng chứng exfiltration, nhưng thiết kế cho phép kích hoạt khi allow-list được cập nhật.
Tác động vận hành ở mức trung bình do phạm vi người dùng lớn và có thể ảnh hưởng niềm tin/tuân thủ: cần gỡ cài đặt trên diện rộng và quy trình xoay bí mật nếu có nhập thông tin nhạy cảm. Việc rà soát log và chính sách quản lý tiện ích có thể phát sinh chi phí ngắn hạn.
Google và Microsoft đã gỡ ModHeader khỏi cửa hàng ứng dụng sau khi các nhà nghiên cứu phát hiện một cơ chế thu thập browsing history được nhúng trong bản chính hãng. Tiện ích có khoảng 1,6 triệu lượt cài trên Chrome và Edge. Theo phân tích, cơ chế này ở trạng thái dormant: danh sách cho phép (allow-list) rỗng khiến pipeline không kích hoạt, và hiện chưa có bằng chứng dữ liệu được thu thập hay gửi đi.
Tuy nhiên, mã nền trong phiên bản 7.0.18 vẫn chứa các thành phần liên quan đến thu thập và xử lý dữ liệu: tạo device fingerprint, dùng khóa mã hóa hardcoded để mã hóa danh sách domain, lưu cục bộ tối đa 1000 domain, sau đó theo lịch có thể đóng gói và gửi tới endpoint từ xa. Ngoài ra, tiện ích còn ping một miền khác khi cài/cập nhật/gỡ cài đặt và có script ghi metadata yêu cầu vào local storage dạng văn bản.
Khuyến nghị: người dùng nên gỡ cài đặt ModHeader, đặc biệt nếu từng nhập API key/bearer token/session cookie thì cần xoay (rotate) bí mật. Đối với phòng thủ, có thể chặn và ghi log các endpoint liên quan (như api.stanfordstudies[.]com và extensions-hub[.]com) và rà soát theo extension ID cùng các yêu cầu POST tương ứng.