Ich habe den Quellcode von Honey gelesen

Der Sprecher leitet das Video ein, indem er den aktuellen Skandal um die Browser-Erweiterung Honey anspricht. Da es sich um eine Chrome-Erweiterung handelt, ist der Quellcode einsehbar, was eine unabhängige Prüfung der im Internet kursierenden Vorwürfe ermöglicht. Er erklärt, dass er nicht nur den aktuellen Status, sondern auch die zeitliche Entwicklung der Software untersuchen möchte, um Absicht hinter fragwürdigen Funktionen nachzuweisen. Besonders wichtig ist ihm dabei zu sehen, ob Software-Entwickler das System über die Zeit effizienter und robuster für Fehlverhalten gemacht haben. Er kündigt eine detaillierte Analyse des minifizierten Codes an, die überraschende Einblicke in die Hintergründe der App-Logik geben wird.

In diesem Abschnitt wird das Kernproblem des Affiliate-Marketings erläutert, bei dem die "Last Click Wins"-Regel den Industriestandard bildet. Affiliate-Netzwerke erzwingen normalerweise eine "Stand-Down-Policy", damit Coupon-Erweiterungen wie Honey Influencern und Bloggern nicht unrechtmäßig die Provision kurz vor dem Kaufabschluss wegnehmen. Der Sprecher demonstriert anhand eines Live-Tests auf Newegg, dass Honey sich bei neuen Nutzern scheinbar korrekt verhält und deaktiviert bleibt. Der Betrug wird jedoch sichtbar, wenn zwei verschiedene Accounts verglichen werden: Ein Account mit gesammelten Cashback-Punkten bleibt aktiv, während der leere Account zurücktritt. Dies beweist eine selektive Anwendung der Regeln, die darauf abzielt, wertvolle Nutzer zur Nutzung von Honey zu bewegen, selbst wenn andere Affiliates den Erstkontakt hergestellt haben.

Unter Einsatz von KI-Tools hat der Sprecher verschiedene Versionen von Honey seit Februar 2019 untersucht, um die Entwicklung der Stand-Down-Logik nachzuvollziehen. Er stellt fest, dass in frühen Versionen (Version 11) sehr spezifische, hartcodierte Prüfungen existierten, wie etwa das Scannen von E-Mail-Adressen nach dem Wort "test". Diese Funktion diente offensichtlich dazu, Test-Accounts von Affiliate-Netzwerken zu täuschen, damit diese die betrügerische Logik bei Routineprüfungen nicht entdecken. Der Code enthielt zu dieser Zeit viele If-Statements und Switch-Cases für verschiedene Provider wie LinkShare (LS). Diese Architektur zeigt, dass die Umgehung von Richtlinien von Anfang an ein integraler, wenn auch damals noch technisch simpler Bestandteil der Software war.

Ab Version 16 im Jahr 2024 vollzog Honey einen massiven technologischen Wandel weg von statischen If-Statements hin zu einem dynamischen, endpunktgesteuerten System. Die Entscheidungslogik wird nun über JSON-Daten gesteuert, die Basiswerte für Punkteanforderungen enthalten, welche durch shop- oder providerspezifische Werte überschrieben werden können. Ein nicht eingeloggter Nutzer benötigt beispielsweise utopische 65.000 Punkte zur Aktivierung, während dieser Wert bei bestimmten Partnern auf 5.001 Punkte sinkt. Dieser Prozess nutzt moderne Software-Engineering-Methoden wie den Spread-Operator, um die Regeln extrem flexibel und wartungsfreundlich zu gestalten. Der Sprecher betont, dass diese Investition in die Code-Qualität beweist, dass das zwielichtige System nicht nur ein alter Fehler ist, sondern aktiv weiterentwickelt und verbessert wird.

Der wohl brisanteste Fund der Analyse ist die Entdeckung einer kompletten JavaScript-in-JavaScript-Engine innerhalb des Plugins, die als "VIM" bezeichnet wird. Honey nutzt den Parser Acorn, um JavaScript in einen abstrakten Syntaxbaum (AST) zu verwandeln und diesen innerhalb einer eigenen virtuellen Maschine auszuführen. Dies ermöglicht es Honey, komplexen Code auszuführen, der für externe Analyse-Tools oder Werbeblocker kaum greifbar ist. Obwohl der Sprecher zum Zeitpunkt der Analyse keinen aktiven Auslöser durch Breakpoints finden konnte, ist die gesamte Infrastruktur für die verschleierte Ausführung von Remote-Code vorhanden. Diese Technik dient vermutlich dazu, Funktionen vor Sicherheitsmechanismen zu verbergen, die den direkten Einsatz von 'eval' verbieten würden.

Zum Abschluss diskutiert der Sprecher, wie Honey die neuen Google-Richtlinien von Manifest V3 umgeht, die eigentlich das Ausführen von interpretierten Befehlen aus Remote-Quellen verbieten. Honey tarnt diese Befehle als Daten-Strings innerhalb der Erweiterung, um die Sicherheitsprüfungen zu passieren, was der Sprecher als extreme Verschleierungstaktik bezeichnet. Er beschreibt die Architektur als das komplexeste "Rube-Goldberg-Konstrukt", das ihm in seiner Karriere bisher begegnet ist, und sieht keinen legitimen Grund für einen solchen Aufwand außer der Täuschung. Das Video endet mit einem Dank an den Analysten MegaLega und einem humoristischen Werbeblock für seinen eigenen Kaffee-Shop. Er resümiert, dass das Reverse Engineering zwar komplex war, aber eindeutige Beweise für eine hochgradig intentionale und technisch robuste Manipulationslogik geliefert hat.