Źródło: unsplash.com/photos/mT7lXZPjk7U
Badacze cyberbezpieczeństwa wykryli grupę 19 rozszerzeń przeglądarek, które zawierały funkcje związane z kradzieżą sekretów portfeli kryptowalutowych oraz wyprowadzaniem aktywów. Wśród nich było 18 dodatków dla Google Chrome i jeden dla Microsoft Edge. Według firmy Socket rozszerzenia łączyły podobny kod i sposób działania, a kampania mogła być aktywna już od lutego 2024 roku.
Socket śledzi tę aktywność pod nazwą Superior. Schemat działania był stosunkowo prosty. Napastnik mógł przejąć istniejące, legalne rozszerzenie albo opublikować własną wersję, która początkowo nie zawierała szkodliwego kodu. Po zdobyciu odpowiedniej liczby instalacji publikowano kolejną aktualizację, rozszerzoną o funkcje złośliwe. Z 19 wykrytych dodatków 14 miało zostać utworzonych przez sprawcę, a pięć kupiono od wcześniejszych właścicieli.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Infrastruktura używana do przekazywania poleceń złośliwemu oprogramowaniu lub odbierania od niego danych.
Technologia pozwalająca utrzymywać dwukierunkowe połączenie między aplikacją a serwerem.
Mechanizm bezpieczeństwa przeglądarki ograniczający źródła, z których strona może ładować treści i wykonywać kod.
Skrypt rozszerzenia uruchamiany w kontekście odwiedzanej strony internetowej.
Według badaczy każdy z opisanych dodatków mógł komunikować się z serwerem command and control (C2) i utrzymywać trwałe połączenie WebSocket. Taki mechanizm pozwalał odbierać polecenia oraz przekazywać dane. Analiza wykazała także, że rozszerzenie mogło otrzymywać informacje o zmianie punktu kontaktu z instrukcji przesłanych przez serwer C2. Socket ocenia, że utrudniało to wykrywanie kampanii i pozwalało kierować dane ofiar do różnych elementów infrastruktury.
Wcześniej zwrócono uwagę na rozszerzenie QuickLens, Search Screen with Google Lens. Annex Security i monxresearch-sec opisywały jego zdolność do dostarczania złośliwego kodu użytkownikom, wstrzykiwania dowolnego kodu oraz zbierania poufnych informacji. Najnowsza analiza Socket sugeruje, że problem był szerszy i trwał dłużej, niż wynikało z wcześniejszych ustaleń. Część kampanii opisało także DomainTools Investigations w maju 2025 roku.
W przypadku QuickLens złośliwy kod usuwał z odwiedzanych stron nagłówki Content Security Policy (CSP), a następnie ułatwiał wstrzykiwanie modułów JavaScript za pomocą content scripts. Badacze zidentyfikowali łącznie 16 takich modułów. Jeden z opisanych mechanizmów, nazwany ClickFix, wyświetlał fałszywy komunikat o aktualizacji przeglądarki i nakłaniał użytkownika do skopiowania oraz wklejenia polecenia przygotowanego przez napastnika. W źródle nie podano treści tego polecenia, a jej powielanie mogłoby ułatwiać atak.
Nie ustalono, kto stoi za kampanią. Karlo Zanki z Socket ocenił jednak, że utrzymywanie takiej aktywności przez ponad dwa lata wskazuje na dobrze przygotowanego sprawcę. Jako największe zagrożenie dla użytkowników wskazał sam sposób przejmowania legalnych rozszerzeń i publikowania ich nowych, złośliwych wersji. Domyślne ustawienia Chrome automatycznie aktualizują dodatki, co może zwiększać zasięg takiej operacji.
Użytkownicy powinni regularnie przeglądać listę zainstalowanych rozszerzeń, usuwać dodatki nieużywane i sprawdzać ich wydawcę oraz zakres wymaganych uprawnień. Szczególną ostrożność należy zachować wobec komunikatów o rzekomej aktualizacji, które nakłaniają do uruchamiania lub wklejania poleceń. W przypadku podejrzenia, że rozszerzenie miało dostęp do danych portfela, warto je wyłączyć, skorzystać z oficjalnych zaleceń dostawcy portfela i monitorować powiązane konta.
Brak komentarzy. Bądź pierwszy!