Google Apps Script là ngôn ngữ dựa trên JavaScript được dùng trong G Suite. Đây là bộ ứng dụng văn phòng trên công nghệ điện toán đám mây của Google, bao gồm các úng dụng: Docs, Sheets, Slides và Forms. Mục đích của ngôn ngữ này là giúp các nhà phát triển và tổ chức mở rộng chức năng trong các ứng dụng của Google, cho phép các ứng dụng thực hiện các chức năng và menu tùy chỉnh.

Lỗ hổng trong Google Apps Script được phát hiện có thể cho phép kẻ tấn công cài mã độc vào hệ thống của người dùng. Không chỉ có Google Apps Script mà các tính năng chia sẻ tài liệu thông thường được tích hợp trên Google Apps đều có nguy cho phép tải mã độc tự động.

Theo Proofpoint, lỗ hổng này được phát hiện khi các chuyên gia của Proofpoint đang nghiên cứu các vấn đề bảo mật trên Google Apps Scripts, chứ không qua các cuộc tấn công.

Sau khi nhận được thông báo, Google đã thực hiện các biện pháp để ngăn chặn tin tặc khai thác lỗ hổng. Hiện tại, Google Apps Script đã chặn các hành vi “installable triggers” có thể dẫn đến việc cho phép người dùng tạo script tự động cài đặt trên một tệp tin.

Thực tế, Google có cung cấp công nghệ duyệt web An toàn (Safe Browsing) để kiểm tra các URL và xác định một trang web có chứa mã độc hay không. Safe Browsing được tích hợp trực tiếp vào Google Chrome cũng như Firefox của Mozilla để bảo vệ người dùng truy cập các trang web chứa mã độc. Tuy nhiên, Safe Browsing chưa thể ngăn được người dùng bị tấn công bởi mã độc được phát tán qua Google Apps Script, do lỗ hổng này cho phép tin tặc lưu trữ mã độc trên Google Drive và phát tán mã độc từ một tài liệu Google Apps. Điều này làm hạn chế khả năng của công nghệ Safe Browsing. Cũng theo Proofpoint, các website không nằm trong danh sách đen Safe Browsing của Google sẽ vượt qua được việc chặn chủ động thông qua API.

Mặc dù Google đã có phương án giảm thiểu nguy cơ từ cách thức tấn công mới này, nhưng các rủi ro khác liên quan đến tài liệu và dữ liệu trên đám mây vẫn tồn tại. Người dùng được khuyến cáo cảnh giác với bất kỳ liên kết email hoặc file đính kèm được gửi từ các nguồn không đáng tin cậy.