3,2 млн пользователей стали жертвами вредоносных расширений для Chrome

3,2 млн пользователей стали жертвами вредоносных расширений для Chrome

3,2 млн пользователей стали жертвами вредоносных расширений для Chrome

Специалисты GitLab Threat Intelligence выявили 16 расширений для Chrome, включая инструменты для создания скриншотов, блокировщики рекламы и клавиатуры с эмодзи, заразивших как минимум 3,2 миллиона пользователей вредоносными программами.

Операторы аддонов использовали поисковую оптимизацию для продвижения своих разработок. При этом злоумышленники явно хорошо подготовлены, так как для обхода защитных механизмов браузеров применялся сложный подход.

«Киберпреступники реализовали сложную многоэтапную атаку, с помощью которой сначала нивелируется защита браузеров, а затем — внедряется вредоносный код», — объясняют исследователи.

Активность стартовала в июле 2024 года, когда злоумышленники получили доступ к легитимным расширениям. Уже к декабрю кампания превратилась в фишинговые атаки на учётные записи разработчиков аддонов.

В результате у атакующих появилась возможность выпускать вредоносные обновления изначально легитимных расширений через официальный магазин Chrome Web Store.

Несмотря на то что аддоны продолжали выполнять заявленную функциональность, в них выявили общий вредоносный фреймворк, который выполнял следующее:

  • Проверял конфигурацию при установке, а также передавал на удалённый сервер версию расширения и уникальный идентификатор.
  • Менял настройки безопасности браузера, удаляя заголовок Content Security Policy (CSP) с первых 2000 посещённых веб-сайтов в каждой сессии.
  • Поддерживал постоянную связь с командным сервером (C2) и обновлял при необходимости конфигурацию.

Анализ показал, что каждый из вредоносных аддонов использовал свой сервер конфигурации. Например:

Название расширения Сервер конфигурации
Blipshot (Screenshots) blipshotextension[.]com
Emojis Keyboard emojikeyboardextension[.]com
Nimble Capture api.nimblecapture[.]com
Adblocker for Chrome abfc-extension[.]com
KProxy kproxyservers[.]site

Специалисты считают, что с помощью этих расширений злоумышленники перехватывали конфиденциальные данные, а также осуществляли мошенничество с кликами.

Замедление Telegram ударило по разработчикам российских ОС

В России оказался недоступен сервис git.kernel.org, через который разработчики получают обновления исходного кода ядра Linux. Крупные участники сообщества подтвердили проблему и связали её с действиями Роскомнадзора. Сам регулятор свою причастность отрицает.

Первые сообщения о сбоях в доступе к kernel.org появились 12 февраля. Пользователи отмечали, что зайти на ресурс без использования средств подмены адреса невозможно — ни по протоколу git, ни по HTTP. Аналогичные трудности возникли и с рядом других сайтов, в том числе с онлайн-курсами по Python и ресурсами разработчиков некоторых системных библиотек.

Портал Digital Report сообщил, что сбои могли быть связаны с мерами Роскомнадзора по замедлению Telegram. По версии издания, при попытке точечно ограничить трафик мессенджера и популярных VPN-протоколов (WireGuard, OpenVPN) применялась тактика «ковровых» блокировок по диапазонам IP-адресов. В результате под ограничения могли попасть CDN-сети, на которых размещаются зеркала Linux Kernel Archives.

Как отмечает Digital Report, ещё 12 февраля разработчики обратились в профильные группы Минцифры с просьбой разобраться в ситуации. По их словам, официальной реакции долгое время не последовало, а обсуждения сопровождались смесью тревоги и иронии.

Лишь сегодня Роскомнадзор в ответ на запрос издания «Подъём» сообщил: «Решения уполномоченных органов в отношении сервисов Linux не поступали, меры ограничения к ним не применяются».

После публикации комментария доступ к сервису начал постепенно восстанавливаться. Об этом, в частности, рассказал Алексей Смирнов в комментарии для Forbes.

Накануне похожие проблемы возникли у пользователей Windows: обновления системы либо не загружались, либо устанавливались с заметными задержками. Тогда Роскомнадзор также отрицал свою причастность.

RSS: Новости на портале Anti-Malware.ru