за блокирането на серия зловредни разширения за браузъра Chrome, жертви на които станаха няколко милиона потребители. В първия етап независимият изследовател Джамиля Кая () и компанията Duo Security откриха 71 зловредно разширение в каталога на Chrome Web Store. В сумарно тези разширения имат повече от 1.7 милиона инсталации. След уведомяването на Google за проблема, в каталога бяха открити още над 430 подобни разширения, за които числото на инсталациите не се съобщава.
Забележително е, че въпреки внушителното число на инсталации, нито едно от проблематичните разширения няма отзиви от потребители, което поставя въпроси относно начина на инсталиране на разширенията и как зловредната активност е останала незабелязана. В момента всички проблемни разширения са премахнати от Chrome Web Store.
Според изследователите, свързаната с блокираните разширения зловредна дейност се извършва от януари 2019 година, но отделни домейни, използвани за извършване на зловредни действия, са били регистрирани още през 2017 година.
В основната си маса зловредните разширения се представят като инструменти за популяризиране на продукти и участие в рекламни услуги (потребителят гледа реклама и получава комисионни). В разширенията е използвана техника за пренасочване към рекламирани сайтове при отваряне на страници, които последователно се показват преди показването на искания сайт.
Всички разширения използват една и съща техника за скриване на зловредна активност и заобикаляне на механизма за проверка на разширенията в Chrome Web Store. Кодът на всички разширения е практически идентичен на ниво изходни текстове, с изключение на имената на функциите, които в всяко разширение са уникални. Предаването на зловредната логика се извършва от централизирани управляващи сървъри. Първоначално разширението се свързва към домейн, който има същото име като името на разширението (например, Mapstrek.com), след което се пренасочва към един от управляващите сървъри, които предоставят сценарий за следващите действия.
Сред предоставяните чрез добавки действия се споменава качване на конфиденциални данни на външен сървър, пренасочване към зловредни сайтове и способстване за инсталиране на зловредни приложения (например, появява се съобщение за заразяване на компютъра и се предлага зловреден софтуер под формата на антивирус или обновление на браузъра). В списъка на домейните, на които е извършвано пренасочване, фигурират различни фишинг домейни и сайтове за експлоатация на неизменени браузъри, съдържащи неотстранени уязвимости (например, след експлоатацията са направени опити за инсталиране на зловредни програми, които прихващат пароли и анализират предаването на конфиденциални данни чрез буфер на обмена).
Източник: opennet.ru
