3,2 млн пользователей стали жертвами вредоносных расширений для Chrome

3,2 млн пользователей стали жертвами вредоносных расширений для Chrome

3,2 млн пользователей стали жертвами вредоносных расширений для Chrome

Специалисты GitLab Threat Intelligence выявили 16 расширений для Chrome, включая инструменты для создания скриншотов, блокировщики рекламы и клавиатуры с эмодзи, заразивших как минимум 3,2 миллиона пользователей вредоносными программами.

Операторы аддонов использовали поисковую оптимизацию для продвижения своих разработок. При этом злоумышленники явно хорошо подготовлены, так как для обхода защитных механизмов браузеров применялся сложный подход.

«Киберпреступники реализовали сложную многоэтапную атаку, с помощью которой сначала нивелируется защита браузеров, а затем — внедряется вредоносный код», — объясняют исследователи.

Активность стартовала в июле 2024 года, когда злоумышленники получили доступ к легитимным расширениям. Уже к декабрю кампания превратилась в фишинговые атаки на учётные записи разработчиков аддонов.

В результате у атакующих появилась возможность выпускать вредоносные обновления изначально легитимных расширений через официальный магазин Chrome Web Store.

Несмотря на то что аддоны продолжали выполнять заявленную функциональность, в них выявили общий вредоносный фреймворк, который выполнял следующее:

  • Проверял конфигурацию при установке, а также передавал на удалённый сервер версию расширения и уникальный идентификатор.
  • Менял настройки безопасности браузера, удаляя заголовок Content Security Policy (CSP) с первых 2000 посещённых веб-сайтов в каждой сессии.
  • Поддерживал постоянную связь с командным сервером (C2) и обновлял при необходимости конфигурацию.

Анализ показал, что каждый из вредоносных аддонов использовал свой сервер конфигурации. Например:

Название расширения Сервер конфигурации
Blipshot (Screenshots) blipshotextension[.]com
Emojis Keyboard emojikeyboardextension[.]com
Nimble Capture api.nimblecapture[.]com
Adblocker for Chrome abfc-extension[.]com
KProxy kproxyservers[.]site

Специалисты считают, что с помощью этих расширений злоумышленники перехватывали конфиденциальные данные, а также осуществляли мошенничество с кликами.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Вышла САКУРА 2.37: интеграция с OpenVPN, подключение к серверу по HTTPS

Компания «ИТ-Экспертиза» представила новую версию программного комплекса САКУРА — релиз 2.37. В обновлении есть улучшения в части безопасности, работы агентов, интеграции с инфраструктурой и оптимизации производительности, а также исправления ошибок.

Главные изменения версии 2.37:

Безопасность

Появилась возможность подключать агент САКУРА к серверу по HTTPS. Это повышает защищённость передачи метрик и управляющих команд.

Интеграция с OpenVPN

Обновили механизм учёта сеансов: теперь поддерживается двухфакторная аутентификация и информация о местоположении. В связке OpenVPN + САКУРА + САКУРА 2ФА корректно отображаются данные о локации пользователя в карточке рабочего места и в отчёте «Карта местоположения».

Изменения в работе агента:

  • Добавили возможность централизованно отключать сбор метрик с отдельных агентов — это помогает снижать нагрузку в пиковые периоды.
  • В логировании появились новые уровни — «Отладка» и «Все события», благодаря чему администраторы могут гибко выбирать степень детализации журналов.

Мобильные приложения и 2ФА

В Android-приложении реализовано скрытие пуш-уведомления после подтверждения входа кнопкой «Да, это я».

Оптимизация системы:

  • Ускорена синхронизация САКУРА с Active Directory за счёт сокращения количества запрашиваемых LDAP-атрибутов.
  • Снижена нагрузка на память при выгрузке отчётов — большие отчёты формируются быстрее и меньше нагружают сервер.
  • Оптимизировано массовое обновление агентов: процесс стал быстрее и устойчивее, добавлена возможность продолжить обновление после разрыва соединения.

Исправления ошибок:

  • Настройки frontend теперь может менять только авторизованный пользователь с нужными правами.
  • Исправлена ошибка проверки домена при входе через учётную запись AD.
  • Исправлено отображение адреса сервера в информации о рабочем месте.
  • Исправлено поведение, при котором иногда не сохранялись введённые настройки сервера.
  • Корректно работает фильтр «Метка РМ» в отчёте «Работа пользователей по дням».
  • Исправлена отображаемая дата установки обновлений ОС для Astra Linux.
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru