5 аддонов для Chrome, ворующих данные браузера, установили 1,4 млн раз

5 аддонов для Chrome, ворующих данные браузера, установили 1,4 млн раз

5 аддонов для Chrome, ворующих данные браузера, установили 1,4 млн раз

Исследователи из компании McAfee выявили пять расширений для Google Chrome, задача которых — незаметно отслеживать историю активности пользователя в браузере. В общей сложности этот аддон загрузили более 1,4 млн раз.

Расширения следят за тем, чтобы жертва посещала сайты, занимающиеся онлайн-торговлей, и модифицируют cookies, чтобы все выглядело так, будто пользователь перешел по реферальной ссылке.

Нетрудно догадаться, что за каждый купленный по такой ссылке товар авторы расширений получают вознаграждение. В McAfee перечислили все пять злонамеренных аддонов, указав также их идентификаторы:

  • Netflix Party (mmnbenehknklpbendgmgngeaignppnbe) – 800 000 загрузок
  • Netflix Party 2 (flijfnhifgdcbhglkneplegafminjnhn) – 300 000 загрузок
  • Full Page Screenshot Capture (pojgkmkfincpdkdgjepkmdekcahmckjp) – 200 000 загрузок
  • FlipShope (adikhbfjdbjkhelbdnffogkobkekkkej) – 80 000 загрузок
  • AutoBuy Flash Sales (gbnahglfafmhaehbdmjedfhdmimjcbed) – 20 000 загрузок

 

Стоит отметить, что заявленную безобидную функциональность расширения все-таки обеспечивают, что затрудняет обнаружение вредоносной активности. Если у вас установлен один из перечисленных выше аддонов, эксперты рекомендуют удалить его.

В отчете McAfee специалисты указывают на общий принцип работы всех пяти обнаруженных расширений. Например, файл manifest.json диктует поведение аддонов и загружает скрипт B0.js, который отправляет данные активности пользователя в браузере на домен langhort[.]com, находящийся под контролем злоумышленников.

Информация отправляется в виде POST-запросов каждый раз, когда жертва посещает новый URL. Среди посылаемых сведений есть закодированная ссылка, идентификатор пользователя, геолокация устройства (страна, город, почтовый индекс) и реферальный URL.

 

Файл B0.js отвечает за модификацию или подмену cookies. Специалисты McAfee записали небольшое видео, демонстрирующее процесс изменения cookies в режиме реального времени:

Чтобы избежать детектирования, некоторые из выявленных расширений ждут 15 дней после установки, после чего начинают отправлять пользовательские данные на сервер авторов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Еще одна турецкая авиакомпания ограничила провоз пауэрбанков

Турецкий лоукостер AJet запретил пассажирам пользоваться пауэрбанками во время полета. Перевозка устройств мощностью свыше 100 Вт·ч теперь допускается только с разрешения авиакомпании, а более 160 Вт·ч — исключительно в багаже и при соблюдении дополнительных условий.

О запрете сообщил телеканал TRT Haber. Ранее аналогичные меры ввела авиакомпания Pegasus.

«По рекомендации Генерального управления гражданской авиации Турции (SHGM) запрещено использование во время полета портативных зарядных устройств (пауэрбанков) с литиевыми батареями мощностью до 100 Вт·ч, электронных сигарет, запасных или внешних аккумуляторов. Их можно перевозить только в ручной клади», — цитирует телеканал выдержку из официального сообщения перевозчика.

Пауэрбанки повышенной мощности можно провозить только при наличии разрешения авиакомпании. Если емкость устройства превышает 160 Вт·ч, перевозка разрешена исключительно в багаже и в специальной упаковке.

Причиной ужесточения правил стала ситуация на рейсе Asiana Airlines Стамбул — Сеул 29 июля: потерянный в самолете пауэрбанк привел к вынужденной посадке в Казахстане. После этого министр транспорта и инфраструктуры Турции Абдулкадир Уралоглу рекомендовал ввести более строгие требования к перевозке внешних аккумуляторов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru