Вредоносные расширения для Firefox прятали код в логотипах

Вредоносные расширения для Firefox прятали код в логотипах

Вредоносные расширения для Firefox прятали код в логотипах

Исследователи обнаружили новую вредоносную кампанию под названием GhostPoster, в рамках которой злоумышленники прятали JavaScript-код прямо в логотипах расширений для Firefox. Такие аддоны набрали в сумме более 50 тысяч установок и долгое время выглядели совершенно безобидно.

На схему обратили внимание специалисты Koi Security. Они выявили как минимум 17 расширений, в которых вредоносный код либо извлекался из PNG-изображения логотипа с помощью стеганографии, либо подгружался с серверов атакующих.

При этом все расширения вели себя схожим образом и использовали одну и ту же инфраструктуру управления.

Особенно неприятно, что заражённые расширения относились к популярным категориям: VPN, переводчики, погода, скриншоты, жесты мыши, блокировка рекламы и даже аналоги Dark Reader. Среди них — FreeVPN Forever, различные «Google Translate», расширения для погоды, VPN и загрузки контента.

 

Механика атаки продумана достаточно хитро. В одном из расширений — FreeVPN Forever — вредоносный загрузчик был спрятан в байтах изображения логотипа. После установки расширение выжидало около 48 часов, а затем пыталось скачать основной вредоносный модуль с удалённого сервера.

Причём происходило это лишь в одном случае из десяти, что помогало обходить системы мониторинга трафика. На случай недоступности основного сервера был предусмотрен запасной домен.

Загружаемый код был сильно обфусцирован: использовались перестановка регистра, base64, а затем дополнительное XOR-шифрование с ключом, привязанным к ID расширения. В итоге в браузер попадал полноценный бэкдор с широкими возможностями.

 

По данным Koi Security, финальный пейлоад умел:

  • подменять партнёрские ссылки в крупных интернет-магазинах, перенаправляя комиссии злоумышленникам;
  • внедрять трекеры Google Analytics на все посещаемые страницы;
  • удалять защитные HTTP-заголовки;
  • обходить CAPTCHA несколькими способами;
  • вставлять невидимые iframe для рекламного и клик-фрода, которые самоуничтожались через 15 секунд.

Хотя расширения не воровали пароли и не вели пользователей на фишинговые сайты, они серьёзно нарушали конфиденциальность и давали атакующим постоянный высокопривилегированный доступ к браузеру. Исследователи отдельно отмечают, что при таком скрытном загрузчике злоумышленники в любой момент могли бы заменить полезную нагрузку на куда более опасную.

На момент публикации часть вредоносных расширений всё ещё была доступна в каталоге Firefox Add-ons. Однако Mozilla оперативно отреагировала на отчёт. Представитель компании сообщил, что все выявленные расширения уже удалены, а автоматические системы обновлены для выявления и блокировки подобных атак в будущем.

Суд признал банкротом российскую дочку Microsoft

Арбитражный суд Москвы признал банкротом российскую дочку Microsoft — ООО «Майкрософт Рус» — и открыл конкурсное производство. Это финальная стадия процедуры банкротства, которая фактически означает распродажу активов для расчётов с кредиторами.

Процесс начался ещё в сентябре 2025 года, тогда компания сама подала заявление о банкротстве.

Как сообщал её представитель в суде, на тот момент неисполненные обязательства превышали 1,5 млрд рублей. Конкурсным управляющим назначен Андрей Соломонов из ассоциации «Достояние».

Причины ситуации довольно ожидаемы. После 2022 года Microsoft приостановила продажи продуктов и услуг в России. При этом «Майкрософт Рус» какое-то время продолжала оказывать техническую поддержку.

Но со временем клиентов практически не осталось: к 2025 году у компании был всего один заказчик, который тоже прекратил сотрудничество. В итоге бизнес перестал приносить доход, и компания сама запустила процедуру банкротства.

Интересно, что ещё по отчётности за 2024 год в Microsoft подчёркивали: вопрос о ликвидации российской дочки не рассматривается. Однако на практике компания фактически уже не вела полноценной деятельности.

Общая картина по Microsoft в России тоже выглядит сдержанно. По данным ФНС, выручка четырёх российских дочек корпорации в 2025 году снизилась почти на треть — на 29,5%, до 117,3 млн рублей. Для сравнения: годом ранее она составляла 166,5 млн рублей.

Больше всего дохода в 2025 году принесла структура «Майкрософт пейментс рус» — около 70,4 млн рублей. При этом в апреле 2025 года компания привлекла займ на 300 млн рублей у ирландской «дочки» Microsoft Global Finance ULC под 2,5% годовых.

Таким образом, история «Майкрософт Рус» подошла к логическому завершению: после сворачивания бизнеса и ухода ключевых клиентов компания не смогла продолжать работу и перешла в стадию банкротства.

RSS: Новости на портале Anti-Malware.ru