3,2 млн пользователей стали жертвами вредоносных расширений для Chrome

3,2 млн пользователей стали жертвами вредоносных расширений для Chrome

3,2 млн пользователей стали жертвами вредоносных расширений для Chrome

Специалисты GitLab Threat Intelligence выявили 16 расширений для Chrome, включая инструменты для создания скриншотов, блокировщики рекламы и клавиатуры с эмодзи, заразивших как минимум 3,2 миллиона пользователей вредоносными программами.

Операторы аддонов использовали поисковую оптимизацию для продвижения своих разработок. При этом злоумышленники явно хорошо подготовлены, так как для обхода защитных механизмов браузеров применялся сложный подход.

«Киберпреступники реализовали сложную многоэтапную атаку, с помощью которой сначала нивелируется защита браузеров, а затем — внедряется вредоносный код», — объясняют исследователи.

Активность стартовала в июле 2024 года, когда злоумышленники получили доступ к легитимным расширениям. Уже к декабрю кампания превратилась в фишинговые атаки на учётные записи разработчиков аддонов.

В результате у атакующих появилась возможность выпускать вредоносные обновления изначально легитимных расширений через официальный магазин Chrome Web Store.

Несмотря на то что аддоны продолжали выполнять заявленную функциональность, в них выявили общий вредоносный фреймворк, который выполнял следующее:

  • Проверял конфигурацию при установке, а также передавал на удалённый сервер версию расширения и уникальный идентификатор.
  • Менял настройки безопасности браузера, удаляя заголовок Content Security Policy (CSP) с первых 2000 посещённых веб-сайтов в каждой сессии.
  • Поддерживал постоянную связь с командным сервером (C2) и обновлял при необходимости конфигурацию.

Анализ показал, что каждый из вредоносных аддонов использовал свой сервер конфигурации. Например:

Название расширения Сервер конфигурации
Blipshot (Screenshots) blipshotextension[.]com
Emojis Keyboard emojikeyboardextension[.]com
Nimble Capture api.nimblecapture[.]com
Adblocker for Chrome abfc-extension[.]com
KProxy kproxyservers[.]site

Специалисты считают, что с помощью этих расширений злоумышленники перехватывали конфиденциальные данные, а также осуществляли мошенничество с кликами.

Мошенники устроили распродажу невостребованных новогодних подарков

Киберполиция Санкт-Петербурга предупреждает о новой волне мошенничества в мессенджерах. Обманщики от имени крупных ретейлеров предлагают по бросовым ценам купить «зависшие» новогодние подарки — электронику и бытовую технику.

Новая приманка служит единственной цели: заполучить СМС-код на доступ к онлайн-банкингу. Откликнувшихся злоумышленники просят его прислать, чтобы подтвердить бронь, оплату либо участие в мифической акции.

Киберкопы призывают россиян к бдительности и советуют проверять щедрые посулы в официальных источниках. Крупные торговые сети, как правило, анонсируют распродажи и скидки на своих сайтах и в аккаунтах; можно также уточнить информацию по опубликованному контактному телефону.

Одноразовые коды из СМС и пуш-уведомлений добросовестные продавцы никогда не запрашивают. Если вы уже его передали, следует незамедлительно связаться с банком, сменить пароль, заблокировать операции по счету и провести проверку на предмет подозрительных списаний, а также несанкционированного оформления подписок и кредитов.

По всей видимости, принимаемые властями меры противодействия мошенничеству, а также информационно-просветительская работа экспертов и правоохраны приносят свои плоды, и доходы мошенников, обычно возрастающие в сезон праздничных распродаж, стали падать.

Чтобы удержаться на плаву, аферистам приходится постоянно придумывать новые приманки и совершенствовать их, в том числе с помощью ИИ, и использовать малейший предлог для проведения атак в попытках добрать то, что не удалось привычно украсть в преддверии больших праздников.

RSS: Новости на портале Anti-Malware.ru