Расширение Chrome использует ваш Gmail-аккаунт для регистрации доменов

Расширение Chrome использует ваш Gmail-аккаунт для регистрации доменов

Поскольку Chrome является наиболее популярным веб-браузером, злоумышленники начинают разрабатывать более сложные вредоносные расширения под него. В данном случае специалист проанализировал расширение Ldi.

По словам эксперта, Ldi выходит на новый уровень в том, что касается активности злонамеренного расширения. Помимо того, что это расширение загружает в браузер жертвы майнер криптовалюты Coinhive, оно также использует учетную запись Gmail пользователя для регистрации бесплатных доменов для злоумышленников через Freenom.

Ldi распространяется чрез сайты, постоянно навязывающие установку этого расширения. Если пользователь пытался закрыть эти уведомления, веб-страница все равно перенаправляла его на страницу Chrome Web Store, где можно было загрузить Ldi. Примечательно, что в описании этого расширения было крайне мало информации. На данный момент оно удалено из магазина Chrome Web Store.

Расширение состоит из двух файлов: jarallax.min.js и bootstrap-filestyle.min.js. В bootstrap-filestyle.min.js можно обнаружить обфусцированный JavaScript-код, находящийся в конце файла, который будет выполняться всякий раз, когда запускается браузер.

После запуска скрипт будет пытаться подключиться к адресу http:// fbcdnxy.net/fgelohmmdfimhmkbbicdngnpeoaidjkj/geo-location.json?cache=, этот адрес отвечает другим кодом, которое расширение должно выполнить.

После запуска браузера происходит попытка подключения вредоносного расширения к Facebook. Эксперт обнаружил довольно много кода, посвященного Facebook, что может быть связано с распространением расширения через Facebook Messenger, но пока что это только предположение.

Потом Ldi загружает Coinhive, чтобы браузер начал добычу Monero для злоумышленника.

После этого начинается процесс регистрации доменных имен с использованием вашей учетной записи Gmail. Код подключается к Freenom.com через метод POST (адрес https:// my.freenom.com/includes/domains/fn-available.php), затем проверяет, доступен ли для регистрации определенный домен. В этом случае это был «jihafivagobumini».

После завершения процесса регистрации домена, расширение отправляет эту информацию обратно на сервер http:// fbcdnxy.net/.

В настоящее время неизвестно, для чего используются эти домены, но вполне может быть, что для распространения вредоносных программ.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

ФБР и МВБ США раскрыли Facebook-аккаунты жертв насилия над детьми

Сотрудники ФБР и Министерства внутренней безопасности (МВБ) США случайно раскрыли личности жертв жестокого обращения с детьми. Forbes выяснил, что следователи не смогли соблюсти конфиденциальность, допустив публикацию ID-номеров жертв в Facebook.

Утечка информации произошла через судебные документы, где упоминались инициалы жертв насилия над детьми, а также идентификационные номера учетных записей в социальной сети Facebook.

Напомним, что ID-номера представляют собой уникальный набор чисел, связанный с конкретным аккаунтом в Facebook.

Как выяснили в Forbes, при желании можно было легко найти профили жертв, узнать их настоящие имена и получить доступ к их персональным данным.

Сотрудники Forbes провели эксперимент, скопировав числа, указанные в судебных документах, и вставив их после «facebook.com/».

Все это не укладывается в схему, согласно которой структуры США, занимающиеся расследованием таких дел, должны любыми способами охранять конфиденциальность жертв жесткого обращения с детьми.

В противном случае разглашение подобной информации может привести к травле жертв.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru