Танымал браузер кеңейтімдерінде криптовалюта ұрлау бойынша ауқымды науқан анықталды. Мәселе Google Chrome үшін 18 зиянды қосымша мен Microsoft Edge үшін бір қосымша туралы болып отыр, олар тек қана әмияндарды босатып қоймай, пайдаланушылардың есептік деректерін де ұрлайды. Осындай кеңейтімдердің бірінің екі нұсқасының жиынтық аудиториясы 80 мың адамға жеткен, ал тәуекел аймағына ресейлік пайдаланушылар да іліккен.
Егжей-тегжейлі талдау барысында мен бұл кеңейтімдердің криптовалютаны, құпия сөздерді және браузер тарихын ұрлауға бағытталған модульдік фреймворкті жүктейтінін анықтадым. Сонымен қатар олар күдік тудырмау үшін жарнамалық баннерлерді көрсетіп, пайдалы утилиталардың астына жасырынады. Бұл әрекеттің алғашқы іздері 2024 жылдан бастап байқалады, бұл ұзақ мерзімді және жақсы жоспарланған операцияны көрсетеді.
Кеңейтімдер ресейліктер үшін неге қауіпті
Бұл қосымшалар пайдаланушының кез келген сайттарда енгізетін деректері мен құпия сөздерін зиянкестерге жібереді. Сонымен қатар, олар Facebook (Ресейде экстремистік ұйым деп танылған Meta компаниясына тиесілі) және LinkedIn (Ресейде бұғатталған) аккаунттарынан ақпарат жинайды, сондай-ақ кіру тарихын шығарып алады. Қауіп бір елмен шектелмейді — жұқтырылған кеңейтімді орнатқан әрбір адам соққы астында қалады, сондықтан ресейліктер де басқалармен тең дәрежеде тәуекелге ұшырайды.
Ерекше алаңдаушылық тудыратыны — табылған қосымшалардың бір бөлігі Chrome Web Store-да пайда болған кезде зиянды кодтан таза болған. Он алты кеңейтімнің бесеуін зиянкестер бастапқы әзірлеушілерден сатып алып, автоматты жаңартулар арқылы жұқтырған. Бұл модульдердің кеңейетінін білдіреді: зиянды функциялар қажеттілікке қарай қосылады, бұл анықтауды өте қиындатады.
Осындай қосымшалардың бірі — Enable Right Click & Copy — Smart Unlock + OCR — Chrome және Edge-те жұмыс істеген. Жұқтыру кезінде оның Chrome-дағы базасы 70 мың адамнан асқан, ал Edge-те шамамен 10 мыңды құраған. Барлық табылған кеңейтімдер Chrome Web Store-дан алынып тасталды, алайда Edge нұсқасы, қолда бар деректер бойынша, Microsoft дүкенінде қолжетімді болып қалған.
Жұқтырылған қосымшаларды орнатқандарға мен деректеріңізді бұзылған деп санауды және құпия сөздерді мүмкіндігінше тез ауыстыруды қатаң ұсынамын. Зардап шеккен әмияндарда криптовалюта сақтағандар активтерді жаңа мекенжайларға аударуы керек.
Зиянды бағдарлама қалай жұмыс істейді
Орнатылғаннан кейін бағдарлама басқару серверлерімен (C2) шифрланған WebSocket байланысын ашып, JavaScript модульдерін жүктейді. Содан кейін ол кіретін сайттардан Content Security Policy (CSP) тақырыптарын алып тастап, жасырын HTML элементтері арқылы зиянды скрипттерді енгізеді, бұл криптобиржалар мен басқа онлайн-сервистерде деректерді ұстап алуға мүмкіндік береді.
Модульдер «Әмиянды қосу» және «Айырбастау» түймелерін алмастыру арқылы EVM, Solana және Tron әмияндарын босата алады. Ledger және Trezor аппараттық әмиян сайттары сид-фразаларды алу үшін фишингтік беттермен жалғанданады. Зиянды код Coinbase, Binance, Kraken, OKX, MEXC, KuCoin, Bybit сияқты ірі биржалардан активтер мен аккаунт деректерін, сондай-ақ MetaMask әмиянынан ұрлайды. Криптовалютаны сақтау мен айырбастаудың барлық танымал тәсілдері дерлік соққы астында қалады.
Жеке функция — браузерді жаңарту туралы жалған хабарландырулар. Олар арқылы құрбанды шабуылшыларға қажетті әрекеттерді орындауға итермелеп, жұқтыруды тереңдетеді. Мұның бәрі пайдаланушыға байқалмай жұмыс істейді: сырттай кеңейтім мәлімделген тапсырманы орындайды, ал ұрлық фонда жүреді. Дәл осы себепті қауіп ұзақ уақыт бойы байқалмай қалды.
Криптовалюта иелеріне арналған басқа қауіптер
Кеңейтімдерден басқа, менің Malwarebytes Labs-тағы әріптестерім жақында жаңа фишингтік схема туралы ескертті. Алаяқтар крипто-мекенжайларды ақша жылыстатуға және санкцияларды бұзуға қатыстылығына тексеруге арналған жалған сервистер (AML) жасайды, солар арқылы актив иелерін алдайды.
Басқа жағдайда хакерлер Apple компаниясының macOS операциялық жүйесіндегі «Экранды бірлесіп пайдалану» функциясындағы IT-осалдықты пайдаланған. Ол арқылы олар құрбандардың компьютерлеріне рұқсатсыз қол жеткізген.
Сарапшылар орнатылатын браузер кеңейтімдеріне мұқият қарауға кеңес береді. Кең ауқымды рұқсаттарды сұрайтын қосымшаларға ерекше сақтық таныту керек. Сондай-ақ мен белсенді кеңейтімдер тізімін жүйелі түрде тексеруді ұсынамын — мұндай әдет күдікті қосымшаны уақытында байқап, ол зиян келтірмей тұрып жоюға көмектеседі.
Осы шаралардың үйлесімі қаражат пен есептік деректерді жоғалту қаупін төмендетеді. Ал кез келген үшінші тарап қосымшаларын орнату кезіндегі сақтық толық қауіпсіздікті қамтамасыз етеді.
Менің сараптамалық пікірім: Бұл шабуыл — криптоиндустриядағы киберқауіптер эволюциясының жарқын мысалы. Зиянкестер енді протоколдарды бұзбайды, олар ең әлсіз буынға — пайдаланушыға және оның заңды бағдарламалық қамтамасыз етуге деген сеніміне шабуыл жасайды. Кеңейтімдер постфактум бұзылуы мүмкін жағдайда, мен орнатылған браузер қосымшаларының санын азайтуды және айтарлықтай сомаларды сақтау үшін аппараттық әмияндарды пайдалануды кеңес беремін. Өз цифрлық әдеттеріңізді жүйелі тексеру — бұл паранойя емес, қазіргі әлемдегі қажетті гигиена.