Вредоносные расширения для Firefox прятали код в логотипах

Вредоносные расширения для Firefox прятали код в логотипах

Вредоносные расширения для Firefox прятали код в логотипах

Исследователи обнаружили новую вредоносную кампанию под названием GhostPoster, в рамках которой злоумышленники прятали JavaScript-код прямо в логотипах расширений для Firefox. Такие аддоны набрали в сумме более 50 тысяч установок и долгое время выглядели совершенно безобидно.

На схему обратили внимание специалисты Koi Security. Они выявили как минимум 17 расширений, в которых вредоносный код либо извлекался из PNG-изображения логотипа с помощью стеганографии, либо подгружался с серверов атакующих.

При этом все расширения вели себя схожим образом и использовали одну и ту же инфраструктуру управления.

Особенно неприятно, что заражённые расширения относились к популярным категориям: VPN, переводчики, погода, скриншоты, жесты мыши, блокировка рекламы и даже аналоги Dark Reader. Среди них — FreeVPN Forever, различные «Google Translate», расширения для погоды, VPN и загрузки контента.

 

Механика атаки продумана достаточно хитро. В одном из расширений — FreeVPN Forever — вредоносный загрузчик был спрятан в байтах изображения логотипа. После установки расширение выжидало около 48 часов, а затем пыталось скачать основной вредоносный модуль с удалённого сервера.

Причём происходило это лишь в одном случае из десяти, что помогало обходить системы мониторинга трафика. На случай недоступности основного сервера был предусмотрен запасной домен.

Загружаемый код был сильно обфусцирован: использовались перестановка регистра, base64, а затем дополнительное XOR-шифрование с ключом, привязанным к ID расширения. В итоге в браузер попадал полноценный бэкдор с широкими возможностями.

 

По данным Koi Security, финальный пейлоад умел:

  • подменять партнёрские ссылки в крупных интернет-магазинах, перенаправляя комиссии злоумышленникам;
  • внедрять трекеры Google Analytics на все посещаемые страницы;
  • удалять защитные HTTP-заголовки;
  • обходить CAPTCHA несколькими способами;
  • вставлять невидимые iframe для рекламного и клик-фрода, которые самоуничтожались через 15 секунд.

Хотя расширения не воровали пароли и не вели пользователей на фишинговые сайты, они серьёзно нарушали конфиденциальность и давали атакующим постоянный высокопривилегированный доступ к браузеру. Исследователи отдельно отмечают, что при таком скрытном загрузчике злоумышленники в любой момент могли бы заменить полезную нагрузку на куда более опасную.

На момент публикации часть вредоносных расширений всё ещё была доступна в каталоге Firefox Add-ons. Однако Mozilla оперативно отреагировала на отчёт. Представитель компании сообщил, что все выявленные расширения уже удалены, а автоматические системы обновлены для выявления и блокировки подобных атак в будущем.

В России создадут уникальную базу IMEI для контроля мобильных устройств

Минцифры планирует в 2026 году запустить базу уникальных номеров мобильных устройств — IMEI. Об этом рассказал заместитель главы министерства Дмитрий Угнивенко на заседании Общественного совета при Минцифры.

По его словам, которые передаёт «Интерфакс», идея в том, чтобы ввести учёт IMEI — уникальных номеров, которые есть у каждого мобильного устройства, будь то смартфон, планшет, умные часы или модем. В отличие от сим-карты, IMEI привязан именно к самому аппарату и не меняется при смене оператора.

В министерстве рассчитывают, что такая база позволит точнее определять, где и как используется мобильная связь. В частности, это может помочь при обеспечении безопасности в условиях угрозы беспилотников.

Если IMEI будет связан с конкретным номером, можно будет достоверно понимать, что сим-карта используется обычным абонентом, а не, например, в БПЛА.

Как отметил Угнивенко, более точная идентификация устройств в перспективе может смягчить текущие ограничения. Речь идёт о ситуациях, когда в целях безопасности временно отключается мобильный интернет и начинают работать так называемые «белые списки» сайтов, которые формирует Минцифры.

Сейчас для снижения рисков уже применяются дополнительные меры. В России действует период «охлаждения» для иностранных сим-карт, а также для сим-карт российских операторов, которые попали в страну из-за рубежа. Всё это призвано усложнить использование мобильной связи в потенциально опасных сценариях.

IMEI (International Mobile Equipment Identity) — это 15-значный номер, который однозначно идентифицирует устройство, а не владельца или сим-карту. В Минцифры подчёркивают, что именно эта особенность делает IMEI удобным инструментом для более точечного контроля без тотальных ограничений для всех пользователей.

Кроме того, власти России запускают масштабную систему противодействия кибермошенничеству, о чём сегодня рассказал премьер-министр Михаил Мишустин на стратегической сессии, посвящённой борьбе с цифровыми преступлениями.

RSS: Новости на портале Anti-Malware.ru