Обнаружено 19 расширений для Chrome и Edge, содержащих код, используемый для кражи средств с кошельков и вывода криптовалюты.

[admin]

Исследователи в области кибербезопасности обнаружили группу из 18 расширений для Google Chrome и одного для Microsoft Edge, опубликованных за последние шесть месяцев, которые обладали возможностями кражи секретных данных кошельков и хищения криптовалюты.

По словам исследователя безопасности Socket Карло Занки, эти расширения имеют сходства в коде и методах взлома, а имеющиеся данные указывают на то, что кампания могла вестись с февраля 2024 года. Socket отслеживает эту активность под названием Superior.

Схема действий довольно проста: злоумышленник либо получает доступ к легитимным расширениям с корректной функциональностью, либо распространяет чистую версию, не содержащую вредоносного ПО. Как только расширения начинают набирать загрузку пользователями, публикуется новая версия со вредоносным поведением.

Из выявленных расширений 14 были созданы злоумышленником, а остальные пять были приобретены у их предыдущих владельцев. Полный список расширений приведен ниже.

Расширения, приобретенные злоумышленником.
koccklolohdacbfooifnpebakpbeipc - Включить щелчок правой кнопкой мыши и копирование — Интеллектуальная разблокировка + OCR
fegckejpfnlmfgkfjpinlbgmeeijjkel - RapidLens - Google Lens для поиска и просмотра изображений на экране
kdenlnncndfnhkognokgfpabgkgehodd - QuickLens - Экран поиска с Google Lens
jamminefolhgepgihbmcjjhgldbfcikp - Защита PDF паролем
inmkjedjdhgpknjogbjomhnbgdccckkg - Разрешить копирование - Выделить и включить щелчок правой кнопкой мыши (Microsoft Edge)
Расширения, созданные и опубликованные злоумышленником -
fcgdejjichpgfaaafflplhfijcnieopb - PixelCheck
cfpnjdbpojpcongfaefcamjbaolpelcd - Creative Library - Инструмент для слежки за рекламой
aapdalkmclfaahehnmicbglkohkldhne - Инструмент проверки посещаемости сайта: статистика SEO MirrorSphere
dkdadldmiefjldmegbjbnhhfddnkhlhm - Site Signal - Инструмент проверки веб-трафика и SEO
fjmlhlkccegopebcllcmafahkmeejpph - SEO Pulse Pro - Анализатор веб-трафика и SEO
iekoapohahgmogbagegmcgplbkikcgke - Частный читатель криптоновостей
ahpnnnjbnfbhoikhohglpohnoocjcoco - Blockfolio: Монитор адресов
oeacadlaclegkkkdehjmiifnjhcekclj - Конвертер криптовалют и фиатных валют
jmlgannjlbliikgcaieomgmcnfplglea - Криптовалютный оповещитель: сигналы о ценах и предупреждения о волатильности
lhmcajhgadanidbopgaoobjlldegjmke - DeFi Pulse Tracker
gfackggoapepdmnjnkblogdcjpgcjiak - Значок цены криптовалюты: краткий обзор
hfijkbdkpidafdbeebnnkhfccildbcle - Обозреватель многоцепочечных сетей
cngchfbfgejllcbhmeadjhiebebiome - LedgerLook: Проверка кошелька
aodkjdeghbjiaienipfjkbpcikkacbcp - Шпионская библиотека метаданных и рекламы Facebook — Сохранение объявлений, поиск, загрузка | FeedX-Ray

Стоит отметить, что вредоносная программа "QuickLens - Search Screen with Google Lens" ранее в этом году была отмечена организациями Annex Security и monxresearch-sec, которые подробно описали её способность распространять вредоносное ПО среди конечных пользователей, внедрять произвольный код и собирать конфиденциальные данные.



Последние данные от Socket свидетельствуют о том, что масштабы этой деятельности шире, чем предполагалось ранее, и она продолжается с февраля 2024 года. Некоторые аспекты этой кампании были задокументированы подразделением DomainTools Investigations в мае 2025 года.

В то время было замечено, что злоумышленник создавал поддельные веб-сайты, маскируясь под легитимные сервисы, инструменты повышения производительности, помощники по созданию или анализу рекламы и медиаконтента, VPN-сервисы, криптовалютные или банковские утилиты, чтобы обманом заставить пользователей установить вредоносные расширения из Chrome Web Store.

«Как правило, эти расширения обладают двойной функциональностью: они обычно работают так, как задумано, но также подключаются к вредоносным серверам для отправки пользовательских данных, получения команд и выполнения произвольного кода», — говорится в отчете DomainTools Investigations .

Наибольший потенциальный эффект имеет расширение "Enable Right Click & Copy — Smart Unlock + OCR", которое в общей сложности установлено 80 000 пользователями в браузерах Chrome и Edge. Каждое из расширений также поддерживает возможность установления связи с сервером управления и контроля (C2) и создания постоянного соединения WebSocket.

«Стоит отметить, что система загрузки поддерживает вращение конечной точки C2 на основе инструкций, полученных от исходного сервера C2, и такое поведение наблюдалось в реальных условиях», — пояснил Занки.

«Эта функциональность позволяет злоумышленникам распределять жертв по различным группам и выделенной инфраструктуре управления и контроля, а также снижать риск обнаружения. Кроме того, данные о выходе из системы динамически поступают от команд управления и контроля, что обеспечивает канал выхода данных для каждой жертвы в отдельности».

Как было замечено в случае с QuickLens, вредоносный код, встроенный в расширения, удаляет заголовки Content Security Policy (CSP) со всех страниц и способствует внедрению модулей JavaScript-кода на целевые веб-сайты с помощью скриптов контента. Всего было выявлено 16 модулей. Они относятся к следующим категориям:

Многоцепочечный опустошитель кошелька
Аппаратный кошелек, сборщик сид-фраз
Криптовалютная биржа и программа для сбора средств с кошельков.
Универсальный инструмент для захвата учетных данных или форм.
похитители аккаунтов Facebook и LinkedIn
похититель истории браузера
Приманка в стиле ClickFix
Модуль ClickFix внедряет поддельное обновление веб-браузера и использует инструкции, специфичные для операционной системы, чтобы заставить пользователя скопировать и вставить вредоносную команду.

Точный состав участников кампании остается неизвестным. Но тот факт, что она успешно ведется уже более двух лет, указывает на "очень компетентного злоумышленника".

«Наибольший риск для конечных пользователей представляет собой оперативный метод, при котором злоумышленник успешно получает доступ к легитимным расширениям и выпускает новые версии, наделенные вредоносными функциями», — сказал Занки. «Такой подход в сочетании с настройками обновления расширений по умолчанию в Chrome обеспечивает автоматическое обновление до последней версии расширения, предоставляя злоумышленнику мощный инструмент для максимизации воздействия и охвата после получения расширения».

Источник