W sumie trafiono na 30 różnych złośliwych rozszerzeń. Pobrały je miliony użytkowników.
Podstępne rozszerzenia
Pozornie nieszkodliwe rozszerzenia gwarantowały użytkownikom możliwość modyfikowania stron internetowych. Miały pozwalać na zmianę takich elementów jak kolory tła i style czcionek wyświetlanych na odwiedzanych witrynach. Po cichu przejmowały jednak historię wyszukiwania i przeglądania, umieszczały reklamy na odwiedzanych stronach i pobierały złośliwy kod na urządzenia użytkowników. W rezultacie cyberprzestępcy mieli dostęp do sieci zainfekowanych komputerów, którą mogli wykorzystać do innych podejrzanych działań.
„Wszystko zaczyna się od podstępnej kampanii reklamowej, a dalej przebiega w formie potajemnego pobierania złośliwego kodu, czego do tej pory nikt nie zauważył. No koniec miejsce ma kradzież nie tylko Twoich wyszukiwań i danych przeglądania, ale również podsuwanie linków afiliacyjnych do 10 tysięcy docelowych witryn – coś, co można łatwo wykorzystać do ukierunkowanego phishingu, przejmowania kont i ekstrakcji danych uwierzytelniających – wszystko z użyciem tej potężnej sieci milionów zainfekowanych komputerów na całym świecie.”
Schemat rozpowszechniania malware za pośrednictwem przeglądarkowych rozszerzeń wykrytych przez Guardio. | Źródło: Guardio Security
Wszystkie z 30 zidentyfikowanych rozszerzeń działały w przeglądarkach Google Chrome i Microsoft Edge. Można było je znaleźć w repozytoriach Google i Microsoftu, ale obie firmy usunęły większość pozycji, które uznały za szkodliwe. To nie rozwiązuje jednak problemu osób, które już je pobrały.
Zabezpieczenia, które sprytnie ominięto
Oczywiście, Chrome Web Store i sklep z rozszerzeniami dla przeglądarki Microsoft Edge posiadają zabezpieczenia, które mają wykrywać złośliwe oprogramowanie. Jak jednak zauważają eksperci, cyberprzestępcy próbują projektować swoje przeglądarkowe rozszerzenia tak, aby detekcja malware nie była prosta.
Niektóre ze złośliwych rozszerzeń wykrytych przez Guardio. | Źródło: Guardio Security
„W stanie początkowym rozszerzenie jest nieszkodliwe. Przegląd kodu ujawnia mnóstwo funkcji związanych ze zmianą kolorów i stylów, o nazwach takich jak cssbgcolors() i setlightmodes().”, wyjaśniają badacze z Guardio.
W treści przesyłanej do sklepu z rozszerzeniami nie ma widocznego złośliwego kodu. Źródłem problemów są fałszywe strony internetowe, które zachęcają użytkowników do zainstalowania pozornie nieszkodliwego rozszerzenia z oficjalnego sklepu. Użytkownik jest z nich przekierowywany na strony z podziękowaniami, a szereg kolejnych przekierowań ładuje złośliwe oprogramowanie.
Cóż, należy zachowywać ostrożność, gdy strona internetowa próbuje zachęcić nas do pobrania czegokolwiek, aby wyświetlenie jej zawartości było możliwe. Warto też z rozwagą podchodzić do kwestii pobierania rozszerzeń przeglądarkowych. Instalujmy tylko te, które cieszą się dobrą renomą i są tworzone przez znanych deweloperów.
Źródło: Guardio Security / fot. tyt. Canva