Badacze cyberbezpieczeństwa odkryli szeroko zakrojoną złośliwą kampanię obejmującą 108 rozszerzeń Google Chrome, zaprojektowanych do kradzieży danych użytkowników i manipulowania aktywnością w przeglądarce.
Kampania ujawnia krytyczne ryzyko:
Nawet zaufane rozszerzenia przeglądarki mogą po cichu naruszyć Twoją tożsamość, sesje i aktywność w sieci.
Co odkryto?
Grupa 108 rozszerzeń Chrome okazała się:
- Połączona z tą samą infrastrukturą dowodzenia i kontroli (C2)
- Opublikowana pod wieloma fałszywymi tożsamościami deweloperów
- Zainstalowana ponad 20 000 razy za pośrednictwem Chrome Web Store
Fałszywi wydawcy to m.in.:
- Yana Project
- GameGen
- SideGames
- Rodeo Games
- InterAlt
Co robią te rozszerzenia
Rozszerzenia te wykraczają daleko poza proste zbieranie danych.
Badacze zidentyfikowali wiele złośliwych funkcji:
Kradzież poświadczeń i tożsamości
- Kradną dane konta Google przez OAuth2
- Przechwytują:
- adres e-mail
- imię i nazwisko
- zdjęcie profilowe
- identyfikator konta
Przejmowanie sesji
- Wykradają sesje Telegram Web co 15 sekund
- Zastępują sesje użytkowników sesjami kontrolowanymi przez atakujących
Manipulowanie przeglądarką
- Wstrzykują skrypty do każdej odwiedzanej witryny
- Otwierają dowolne adresy URL przy uruchomieniu przeglądarki
- Usuwają zabezpieczenia z witryn
Wstrzykiwanie reklam i nadużycia
- Wstrzykują reklamy i nakładki z hazardem
- Modyfikują działanie YouTube i TikToka
- Przekierowują ruch tłumaczeń przez serwery atakujących
Jak działa atak
Rozszerzenia podszywają się pod legalne narzędzia, takie jak:
- klienty Telegrama
- narzędzia przeglądarkowe
- narzędzia do tłumaczenia
- gry (np. wyścigi, automaty do gier)
- ulepszenia dla YouTube/TikToka
👉 Po instalacji złośliwy kod działa po cichu w tle, dając atakującym pełną kontrolę nad aktywnością w przeglądarce.
Wspólna infrastruktura
Wszystkie 108 rozszerzeń komunikuje się z tym samym serwerem zaplecza:
👉 144.126.135[.]238
Ta scentralizowana infrastruktura umożliwia:
- Eksfiltrację danych
- Wykonywanie poleceń
- Skoordynowane sterowanie wszystkimi zainfekowanymi przeglądarkami
Wskazówki dotyczące atrybucji
Choć dokładny sprawca pozostaje nieznany:
- Kod źródłowy zawiera komentarze w języku rosyjskim
- Co sugeruje możliwe powiązania regionalne
Dlaczego to jest niebezpieczne
Ta kampania uwidacznia poważny martwy punkt w zabezpieczeniach:
Rozszerzenia przeglądarki działają z wysokimi uprawnieniami — często przy minimalnej weryfikacji ze strony użytkownika.
Po zainstalowaniu mogą:
- Uzyskiwać dostęp do wszystkich danych przeglądania
- Modyfikować treści internetowe
- Wchodzić w interakcję z sesjami uwierzytelniania
👉 W praktyce działając jak trwałe oprogramowanie szpiegujące wewnątrz przeglądarki
Co użytkownicy powinni zrobić natychmiast
1. Usuń podejrzane rozszerzenia
Zwłaszcza nieznane lub rzadko używane
2. Wyloguj się z aktywnych sesji
W szczególności z:
- Telegram Web
- kont Google
3. Przejrzyj zainstalowane rozszerzenia
Sprawdź uprawnienia i wiarygodność wydawcy
4. Używaj jak najmniejszej liczby rozszerzeń
Instaluj tylko to, co jest absolutnie niezbędne
5. Włącz monitorowanie bezpieczeństwa
Tam, gdzie to możliwe, korzystaj z ochrony punktów końcowych/przeglądarki
Najważniejszy wniosek
Ta kampania potwierdza kluczową lekcję:
Twoja przeglądarka jest częścią Twojej powierzchni ataku — a rozszerzenia są często najsłabszym ogniwem.
Nawet oficjalne sklepy, takie jak Chrome Web Store,
mogą być nadużywane do dystrybucji skrytych zagrożeń na dużą skalę.
