Расширение Chrome использует ваш Gmail-аккаунт для регистрации доменов

Расширение Chrome использует ваш Gmail-аккаунт для регистрации доменов

Расширение Chrome использует ваш Gmail-аккаунт для регистрации доменов

Поскольку Chrome является наиболее популярным веб-браузером, злоумышленники начинают разрабатывать более сложные вредоносные расширения под него. В данном случае специалист проанализировал расширение Ldi.

По словам эксперта, Ldi выходит на новый уровень в том, что касается активности злонамеренного расширения. Помимо того, что это расширение загружает в браузер жертвы майнер криптовалюты Coinhive, оно также использует учетную запись Gmail пользователя для регистрации бесплатных доменов для злоумышленников через Freenom.

Ldi распространяется чрез сайты, постоянно навязывающие установку этого расширения. Если пользователь пытался закрыть эти уведомления, веб-страница все равно перенаправляла его на страницу Chrome Web Store, где можно было загрузить Ldi. Примечательно, что в описании этого расширения было крайне мало информации. На данный момент оно удалено из магазина Chrome Web Store.

Расширение состоит из двух файлов: jarallax.min.js и bootstrap-filestyle.min.js. В bootstrap-filestyle.min.js можно обнаружить обфусцированный JavaScript-код, находящийся в конце файла, который будет выполняться всякий раз, когда запускается браузер.

После запуска скрипт будет пытаться подключиться к адресу http:// fbcdnxy.net/fgelohmmdfimhmkbbicdngnpeoaidjkj/geo-location.json?cache=, этот адрес отвечает другим кодом, которое расширение должно выполнить.

После запуска браузера происходит попытка подключения вредоносного расширения к Facebook. Эксперт обнаружил довольно много кода, посвященного Facebook, что может быть связано с распространением расширения через Facebook Messenger, но пока что это только предположение.

Потом Ldi загружает Coinhive, чтобы браузер начал добычу Monero для злоумышленника.

После этого начинается процесс регистрации доменных имен с использованием вашей учетной записи Gmail. Код подключается к Freenom.com через метод POST (адрес https:// my.freenom.com/includes/domains/fn-available.php), затем проверяет, доступен ли для регистрации определенный домен. В этом случае это был «jihafivagobumini».

После завершения процесса регистрации домена, расширение отправляет эту информацию обратно на сервер http:// fbcdnxy.net/.

В настоящее время неизвестно, для чего используются эти домены, но вполне может быть, что для распространения вредоносных программ.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В Кузбассе пенсионерка отдала мошенникам 2 миллиона рублей в рукавицах

В Кемеровской области полицейские раскрыли очередную схему телефонного мошенничества. Жертвой злоумышленников стала 71-летняя жительница Осинников, которая потеряла более 2 миллионов рублей.

Сначала, как пишет «МВД МЕДИА», женщине позвонил мужчина, представившийся сотрудником оператора связи.

Он убедил пенсионерку продиктовать данные СНИЛС. Спустя некоторое время позвонил «представитель правоохранительных органов» и сообщил, что её данные якобы попали к мошенникам, а её деньги теперь «финансируют иностранное государство».

Чтобы избежать уголовной ответственности, он настоял, чтобы женщина провела «инвентаризацию купюр».

Пенсионерка поверила и сняла со счетов 2 145 000 рублей, которые сложила в рукавицы и передала курьеру. Лишь позже она поняла, что её обманули, и обратилась в полицию.

Сотрудники уголовного розыска задержали троих жителей Томска в возрасте от 20 до 25 лет. Выяснилось, что организатор получил «подработку» через интернет, а к делу привлёк двух знакомых: один был водителем, другой — курьером.

Деньги они поделили, оставив себе небольшой процент, остальное перевели организатору и его сообщникам.

Возбуждено уголовное дело по статье «Мошенничество» (ч. 4 ст. 159 УК РФ). Двое подозреваемых помещены под стражу, третий находится под подпиской о невыезде.

Полиция продолжает расследование и ищет других участников схемы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru