Расширения Chrome для Chrome-мошенников удалены из магазина после 500 000 загрузок

Расширения для браузера Chrome от Google должны работать с определенными ограничениями, но это не мешает людям скрываться во вредоносных функциях. Исследователи из охранной фирмы ICEBRG сообщают о поиске кластера мошеннических расширений в Google Web Store с комбинированным размером загрузки более 500 000. Google удалил расширения, но создатели этих расширений, вероятно, все еще сделали гору наличных денег из схемы.

Согласно ICEBRG, он впервые узнал об опасных расширениях после обнаружения подозрительного всплеска исходящего сетевого трафика на машине клиента. Команда отслеживала это до расширения под названием «Изменить заголовок HTTP-заголовка», в котором запущен скрытый пакет мошенничества с кликом. По мере того, как пользователь идет о своем бизнесе, расширение направляется на сервер управления, чтобы генерировать деньги, нажав на объявления. Контрольный сервер фактически использует компьютер жертвы как прокси-сервер, чтобы сделать его похожим на то, что человек нажимает на объявления и партнерские ссылки, которые приносят пользу владельцам расширений. Вот почему расширения генерируют настолько подозрительный исходящий трафик.

ICEBRG в итоге обнаружил еще три расширения, которые делают то же самое: Nyoogle, Stickies и Lite Bookmarks. Из найденных расширений, Nyoogle на сегодняшний день является самым большим количеством загрузок на более чем 500 000 (он пообещал пользовательские логотипы Google). Другие, включая расширение, которое опрокинуло ICEBRG, были очень маленькими по сравнению.

По умолчанию расширения Chrome могут запускать только JavaScript, содержащийся в JSON, в веб-магазине. Это означает, что меры безопасности Google могут заразиться злонамеренным поведением. Тем не менее, разработчики могут включить возможности загрузки JSON в своих расширениях. В этом случае разработчики загрузили расширение с помощью нового кода для создания поддельных кликов. ICEBRG отмечает, что расширения могли быть использованы для кражи данных или зондовых сетей для других уязвимостей. Однако цель этой схемы была, по-видимому, незаметной и сделать как можно больше денег.

Google удалил нарушительные расширения из магазина и заблокировал учетные записи разработчиков. Chrome имеет репутацию одного из самых надежных браузеров в мире. Он получает частые обновления для исправлений безопасности, а процессы браузера изолированы от системы. Проблема заключается не столько в самом Chrome, сколько в расширениях в целом. Любой браузер, который позволяет пользователям запускать сторонний код, потенциально уязвим для атаки. Лучший способ действий - ограничить расширения, которые вы выполняете, от аккаунтов Google и других аккаунтов разработчиков, которым вы доверяете.

Читать далее