Syncjacking позволяет получить контроль над устройством через Chrome-аддоны

Syncjacking позволяет получить контроль над устройством через Chrome-аддоны

Syncjacking позволяет получить контроль над устройством через Chrome-аддоны

Исследователи из SquareX обнаружили новый вектор атаки под названием «Browser Syncjacking»: злоумышленники могут использовать с виду легитимное расширение браузера Google Chrome для получения полного контроля над устройством жертвы.

Описанная техника включает несколько этапов: сначала злоумышленник перехватывает контроль над Google-аккаунтом жертвы, затем — над браузером, а в конечном счёте — над самим устройством.

Несмотря на многоступенчатую структуру, вектор можно использовать незаметно, поскольку он требует минимальных разрешений в системе и практически исключает взаимодействие с жертвой, кроме установки  якобы легитимного расширения.

Общая схема Syncjacking делится на четыре этапа:

  1. Создание вредоносного домена Google Workspace. Злоумышленник настраивает несколько профилей, отключая у них защитные меры, (например, многофакторную аутентификацию). Этот домен используется для создания управляемого профиля на устройстве жертвы.
  2. Публикация вредоносного расширения. Аддон маскируется под полезный софт с легитимными функциями и размещается в Chrome Web Store.
  3. Обман жертвы с помощью социальной инженерии. Жертва устанавливает расширение, после чего оно тайно регистрирует ее в одном из управляемых злоумышленником профилей Google Workspace. Это происходит в скрытом окне браузера, работающем в фоновом режиме.
  4. Включение синхронизации Chrome. Расширение открывает страницу поддержки Google и, используя разрешение на чтение и запись веб-страниц, внедряет в нее сообщение, побуждающее жертву включить синхронизацию. После активации злоумышленник получает доступ ко всем сохранённым данным пользователя, включая пароли, историю просмотров и другую конфиденциальную информацию.

 

После компрометации профиля злоумышленники используют поддельное обновление Zoom для получения полного контроля над браузером.

  1. Жертва получает фальшивое приглашение на конференц-связь.
  2. При переходе по ссылке расширение подменяет содержимое страницы, предлагая обновить клиент Zoom.
  3. На  деле загружается исполняемый файл с токеном регистрации, который передает злоумышленнику полный контроль над браузером жертвы.

 

После успешного взлома злоумышленники могут:

  • Незаметно получать доступ ко всем веб-приложениям жертвы.
  • Устанавливать дополнительные вредоносные расширения.
  • Перенаправлять пользователя на фишинговые сайты.
  • Отслеживать и модифицировать загрузки файлов.
  • Фиксировать нажатия клавиш, включая пароли.
  • Активировать веб-камеру и микрофон.

SquareX подчеркивает, что этот метод особенно сложен для обнаружения. В отличие от традиционных атак, использующих сложную социальную инженерию, здесь злоумышленникам требуются лишь минимальные разрешения и немного социальной инженерии.

«Если пользователь неискушён и не проверяет регулярно настройки Chrome, он даже не заметит, что браузер скомпрометирован», — говорится в отчете.

Передачу долгов клиентов SAP российской компании сочли законной

Арбитражный суд Москвы признал законной сделку по уступке долгов российской «дочки» SAP юридической компании «Легат». В 2024 году SAP передала ей права требования за 60 млн рублей, что составило около 3% от общего объёма долгового портфеля.

Как напоминает РБК, после ухода SAP из России компания продолжила взыскивать задолженность с российских пользователей своих продуктов.

Среди должников SAP оказались многие крупные компании, в том числе интегратор КРОК, футбольный клуб «Зенит», розничная сеть «О`КЕЙ», а также ряд структур «Росатома».

В число должников вошёл и краснодарский производитель дверей «Феррони». Задолженность компании по лицензионным договорам составила 63 млн рублей. «Феррони» обратилась в суд с иском к «Легату», назвав сделку между SAP и юридической фирмой способом обхода требований указа президента № 322, который регулирует порядок расчётов с правообладателями из недружественных стран.

Однако суд встал на сторону «Легата». В решении указано, что указ № 322 распространяется исключительно на отношения между российским должником и иностранным кредитором, а при уступке права требования российской компании действие контрсанкционных мер прекращается.

По оценке опрошенных РБК юристов, это решение формирует прецедент в вопросе вывода замороженных активов иностранных вендоров, покинувших российский рынок. При этом, как отмечает старший юрист BGP Litigation Ирина Ротачкова, оно противоречит позиции Верховного суда, который ранее выносил по аналогичным делам противоположные решения. В случае если «Феррони» дойдёт до высшей судебной инстанции, у компании остаются высокие шансы на отмену данного решения.

Советник коллегии адвокатов Pen & Paper Роман Кузьмин также назвал выводы суда несоответствующими сложившейся практике. По его словам, только в октябре 2024 года арбитражные суды не менее 226 раз отказывали зарубежным правообладателям в применении механизма цессии.

RSS: Новости на портале Anti-Malware.ru