Kampanye Google Chrome Web Store menggunakan lebih dari 100 ekstensi browser berbahaya yang meniru alat yang sah, seperti VPN, asisten AI, dan utilitas crypto, untuk mencuri cookie browser dan menjalankan skrip jarak jauh secara diam -diam.
Ekstensi menawarkan beberapa fungsionalitas yang dijanjikan, tetapi juga terhubung ke infrastruktur aktor ancaman untuk mencuri informasi pengguna atau menerima perintah untuk dieksekusi. Selain itu, ekstensi krom berbahaya dapat memodifikasi lalu lintas jaringan untuk mengirimkan iklan, melakukan pengalihan, atau proksi.
Kampanye ini ditemukan oleh para peneliti keamanan di Domaintools, yang melihat lebih dari 100 domain palsu yang mempromosikan alat untuk pengguna yang tidak curiga, kemungkinan melalui malvertising.
DomainTools ‘ Daftar lebih dari 100 situs web jahat Termasuk beberapa merek VPN palsu serta upaya untuk menyamar sebagai merek yang sah, seperti Fortinet, YouTube, Deepseek AI, dan Calendly:
- Earthvpn[.]atas
- Irontunnel[.]Dunia dan Tunnel Besi[.]com
- Raccoon-VPN[.]dunia
- Anggrek-VPN[.]com
- Soul-VPN[.]com
- Fort-VPN[.]com dan fortivnp[.]com
- Ekstensi Debat[.]Dunia dan Bantalan[.]SBS, Bantalan[.]klik
- YouTube-Vision[.]com dan youtube-vision[.]dunia
- Deepseek-ai[.]link
- CalendlyDaily[.]Dunia, Calendlydocker[.]com, sutradara calendly[.]com
- Paus-Alerts[.]org dan paus-alert[.]kehidupan
- Madgicxads[.]Dunia dan Madgicx-plus[.]com
- net serupa[.]com
- Workfront-plus[.]com
- Penerbangan-Radar[.]kehidupan
Situs web ini termasuk tombol “Tambahkan ke Chrome” yang menautkan ke ekstensi browser berbahaya di Chrome Web Store, sehingga meningkatkan rasa legitimasi.
Sumber: Domaintools
Meskipun Google menghapus banyak ekstensi Domaintools yang diidentifikasi, BleepingComputer telah mengkonfirmasi bahwa beberapa tetap di toko web Chrome.
“Toko Web Chrome telah menghapus banyak ekstensi jahat aktor setelah identifikasi malware,” Jelaskan para peneliti.
“Namun, kegigihan aktor dan jeda waktu dalam deteksi dan penghapusan menimbulkan ancaman bagi pengguna yang mencari alat produktivitas dan peningkatan browser.”
Sementara setiap ekstensi melakukan fungsi yang berbeda, mereka meminta izin berisiko yang memungkinkan mereka mencuri cookie, termasuk token sesi, melakukan phishing berbasis DOM, dan melakukan injeksi skrip dinamis.
Misalnya, ekstensi “FortivPN” digunakan untuk mencuri cookie, bertindak sebagai server proxy, memodifikasi lalu lintas jaringan, dan untuk menjalankan skrip JavaScript yang sewenang -wenang dari server jarak jauh.
“Saat diperintahkan, ia menggunakan chrome.cookies.getall ({}) untuk mengambil semua cookie browser, mengompresnya menggunakan pako, menyandikannya di base64, dan mengirimkannya kembali ke infograf backend[.]server teratas, “membaca laporan.
“Ini dapat diperintahkan untuk membuat koneksi Websocket terpisah untuk bertindak sebagai proxy jaringan, berpotensi merutekan lalu lintas pengguna melalui server berbahaya. Target proxy disediakan oleh perintah backend dan juga menerapkan penanganan otentikasi proxy.”
Risiko yang muncul dari memasang ekstensi ini termasuk pembajakan akun, pencurian data pribadi, dan pemantauan aktivitas penelusuran. Pada akhirnya, mereka memberi para penyerang sebuah pintu belakang di browser yang terinfeksi, sehingga potensi eksploitasi luas.
Aktor -aktor ancaman juga dapat menggunakan cookie sesi curian untuk melanggar perangkat atau akun VPN perusahaan yang sah untuk mendapatkan akses ke jaringan perusahaan, menyebabkan serangan yang lebih menghancurkan.
Untuk mengurangi risiko mengunduh ekstensi berbahaya dari Chrome Web Store, hanya Trust Ragus Publishers dengan rekam jejak yang terbukti, dan meninjau ulasan pengguna untuk mencari bendera merah.
BleepingComputer telah menghubungi Google untuk bertanya tentang upaya deteksi mereka mengenai kampanye khusus ini, tetapi kami tidak menerima komentar berdasarkan waktu publikasi.
