Вредоносные браузерные расширения: масштабная угроза безопасности пользователей
Недавние исследования в области безопасности выявили тревожную тенденцию — широкое распространение вредоносных браузерных расширений, которые используют стандартные разрешения для перехвата сеансов пользователей и манипулирования веб-контентом. Эти, на первый взгляд, безобидные инструменты представляют серьёзную угрозу как для безопасности, так и для конфиденциальности пользователей по всему миру.
Рост вредоносной активности среди легальных дополнений
Особую опасность представляют расширения, распространяемые через официальные магазины, такие как дополнения Mozilla. Злоумышленники используют стандартный набор разрешений браузера для проведения мошеннических операций, включая:
- перенаправление трафика на вредоносные сайты;
- искусственное манипулирование аналитикой вовлеченности;
- перехват пользовательских данных, включая cookie и пароли.
Одним из ярких примеров является расширение Shell Shockers io, которое с помощью функции chrome.windows.create создаёт вводящие в заблуждение всплывающие окна. Они перенаправляют пользователей на мошеннические страницы технической поддержки, где жертв вынуждают раскрывать личную и финансовую информацию.
Другой пример — расширение, разработанное для облегчения доступа к Википедии в Турции. Оно использует API chrome.WebRequest.onBeforeRequest для перенаправления, но при этом опирается на прокси-домен с известными уязвимостями, подвергая пользователей дополнительным рискам.
Кампания «Операция Phantom Enigma» и её последствия
Особое внимание вызвала масштабная кампания, известная как Операция Phantom Enigma, нацеленная на пользователей бразильских банков. Мошенники сумели обойти меры двухфакторной аутентификации и в короткий срок украли учетные данные у 722 человек. Этот инцидент подчёркивает серьёзность угрозы, исходящей от злоупотребления браузерными расширениями в финансовой сфере.
Технологии и методы вредоносных расширений
Современные вредоносные расширения используют комплексные методы вредоносного поведения, среди которых:
- утечка данных из cookie, паролей и истории браузера;
- сетевой перехват с изменением безопасных HTTP/HTTPS соединений;
- перехват нажатий клавиш (keylogging) и создание снимков экрана;
- перенаправление и изменение криптовалютных транзакций в реальном времени;
- скрытые виртуальные сетевые вычисления (hVNC) для удалённого управления и мониторинга действий пользователя.
Эти возможности делают расширения мощным инструментом злоумышленников для тайного контроля и кражи информации.
Масштаб проблемы и коммерциализация угрозы
Согласно отчёту GitLab Security Threat Intelligence, опубликованному в феврале, вредоносные расширения затронули не менее 3,2 миллиона пользователей, что свидетельствует о масштабности проблемы.
Особая тревога вызвана появлением на форумах dark web вредоносного фреймворка для Chrome, стоимость которого составляет около 100 000 долларов. Его связывают с хакером по имени rivemks. Данный фреймворк включает следующие функции:
- фильтрация cookie каждые 15 минут;
- сбор данных форм, включая ввод паролей;
- вывод криптовалюты через API, активируемый переходами по внешним ссылкам.
Эта сложная инфраструктура позволяет создавать постоянные ботнеты и значительно расширяет возможности вредоносных кампаний.
Необходимость проактивных мер
Эволюция браузерных расширений от простого рекламного ПО до многофункционального вредоносного инструмента требует адекватного ответа со стороны пользователей и организаций. Для снижения рисков рекомендуется:
- регулярно проводить сканирование и аудит установленных расширений;
- обучать пользователей принципам безопасного использования браузерных дополнений;
- использовать комплексные решения безопасности, способные выявлять подозрительную активность.
Только комплексный и проактивный подход позволит эффективно противодействовать растущей угрозе со стороны вредоносных браузерных расширений.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
