108 вредоносных расширений Chrome крадут данные

Содержание

В Chrome нашли 108 вредоносных расширений, которые тихо собирают данные пользователей и вставляют рекламу на каждую страницу. По данным компании Socket, суммарно эти аддоны набрали около 20 000 установок в Chrome Web Store.

История неприятная тем, что расширения маскировались под игры, утилиты и «клиенты» популярных сервисов. Снаружи они работали как обещали. А внутри — вели себя как шпион и рекламный инжектор одновременно.

Один сервер на всех: похоже на координированную кампанию

Изображение к статье: В Chrome нашли 108 вредоносных расширений: крадут данные и вставляют рекламу

Socket пишет, что расширения опубликованы от имени пяти разных разработчиков. Но украденные данные они отправляли на один и тот же command-and-control (C2) сервер. Это ключевая деталь: выглядит не как случайный набор «плохих» аддонов, а как единая операция.

Продолжение после рекламы

Набор категорий широкий: боковые панели для YouTube, «веб-клиенты» для TikTok и Telegram, простые сервисные утилиты, мини-игры. Идея понятна: поймать как можно более разную аудиторию.

Что именно делали расширения: бэкдор, угон Telegram и сбор Google-идентификаторов

По разбору Socket, нагрузка у этих расширений различалась. Но общая логика одна: расширение получает доступ в браузере и дальше делает то, что пользователю не показывают.

1 расширение: перехватывало Telegram-аккаунт жертвы каждые 15 секунд
45 расширений: добавляли в браузер универсальный бэкдор
54 расширения: похищали Google “sub” ID пользователя

Самыми опасными Socket называет как раз те 54 расширения, которые уносили “sub” ID. Это стабильный идентификатор Google-аккаунта. Он не меняется даже если вы смените пароль или почту. Вдобавок эти аддоны собирали Gmail-адрес, имя и URL аватарки профиля.

С таким идентификатором злоумышленники получают «сквозную метку» на человека. Если вы попадёте в другую схему через год или два, вас проще связать с прежними данными и собрать долгий профиль активности.