Er is een nieuwe zwendel in omloop die gericht is op mensen die Chrome publiceren.
De zwendel komt in de vorm van een officieel ogend „verzoek tot verwijdering wegens schending van het auteursrecht“, waarin wordt beweerd dat je extensie op het punt extensie uit de Chrome Store te worden verwijderd en dat je 48 uur de tijd hebt om hiertegen in beroep te gaan.
Het ziet er zelfs uit alsof het op jou is afgestemd. Nadat je de ID extensieje extensiehebt ingevoerd om deze te ‘verifiëren’, haalt de pagina de echte naam en het pictogram extensieje extensieop. Maar het maakt allemaal deel uit van een phishingaanval die bedoeld is om je Google-gebruikersnaam en -wachtwoord te stelen.
Als aanvallers toegang krijgen tot een ontwikkelaarsaccount, kunnen ze mogelijk de extensie overnemen, toegang krijgen tot ontwikkelaarsbronnen of mogelijk schadelijke updates naar gebruikers pushen.
Wat is er nu eigenlijk aan de hand?
Als je eenextensie hebt gepubliceerd, kun je een pagina tegenkomen die eruitziet als een officiële mededeling van Google waarin wordt gewaarschuwd dat je extensie verwijderd wegens schending van het auteursrecht.
Op de pagina wordt je gevraagd je extensie in te voeren, waarna je extensie daadwerkelijke extensie van je extensie te zien krijgt, samen met een klachtnummer en een aftelklok. Je wordt onder druk gezet om je aan te melden bij Google om bezwaar aan te tekenen voordat de tijd om is.
Niets hiervan is echt. De pagina wordt niet beheerd door Google. De klacht, de deadline en de aftelling zijn verzonnen. Het doel is om u te misleiden, zodat u uw Google-gebruikersnaam en -wachtwoord invoert in een vals inlogvenster dat door de oplichter wordt beheerd.
De belangrijkste regel om te onthouden: echte waarschuwingen over je extensie in je ontwikkelaarsdashboard van de Chrome Store, niet op een website van een derde partij.
Waarom oplichters op zoek zijn naar ontwikkelaarsaccounts
Chrome hebben toegang tot de browsers van gebruikers en kunnen automatisch worden bijgewerkt.
Als aanvallers de controle over een ontwikkelaarsaccount weten te krijgen, kunnen ze mogelijk een extensie wijzigen, toegang krijgen tot ontwikkelaarsbronnen of mogelijk schadelijke updates verspreiden onder bestaande gebruikers.
Dat maakt ontwikkelaarsaccounts tot zulke aantrekkelijke doelwitten, en dat is ook de reden waarom dit soort oplichting zo veel voorkomt.
Hoe de zwendel eruitziet
De pagina wordt gehost op een domein dat niets met Google te maken heeft. In de versie die we hebben geanalyseerd, gebruikte de site het adres dmca-chrome-extensions[.]click.
Desondanks maakt het gebruik van de huisstijl van Google en presenteert het zich als eenChrome Store Developer Policy Center“.
Op de pagina wordt je eerst gevraagd om de link of het ID van je extensie. Dat lijkt onschuldig, en juist daarom werkt het.
Het maakt gebruik van je eigen extensie overtuigend over te komen
Nadat je je extensie hebt ingevoerd, verschijnt er even de melding extensiewordt extensieop de pagina, waarna er een nep-verwijderingsverzoek wordt gegenereerd op basis van je echte extensie.
Toen we de zwendel testten met Malwarebytes Browser Guard, werden naast de valse klacht ook extensie echte extensie en het pictogram extensie onze extensie en de vermelding in de Chrome Store weergegeven.
De website haalt gewoon openbaar beschikbare informatie op van de Chrome Store-pagina extensieje extensie. Die informatie is voor iedereen zichtbaar. De oplichters gebruiken deze informatie om de valse melding een legitiem karakter te geven.
Al het andere is verzonnen.
Het klachtnummer, de „ontvangstdatum“, de termijn van 48 uur, de afteltimer en de tijdlijn van de gebeurtenissen worden door de oplichtingspagina zelf gegenereerd.
Het aftellen is bedoeld om je op te jagen
Een rode waarschuwingsbanner meldt dat je extensie definitief extensie verwijderd als je niet binnen 48 uur actie onderneemt, en een klok telt de seconden af. De hele lay-out leidt je naar één knop: log in met Google om ‘je identiteit te verifiëren’ en je bezwaar in te dienen.
De urgentie is bedoeld om druk uit te oefenen, zodat je reageert voordat je de tijd neemt om de bewering te controleren.
Het valse inlogvenster
Als je op ‘Doorgaan naar verificatie’ klikt, verschijnt er een Google-aanmeldvenster met een titelbalk, een hangslotje en het adres accounts.google.com.
Het ziet er echt uit, maar dat is het niet.
Het 'venster' maakt in feite deel uit van de webpagina zelf. Het hangslotje en het adres zijn slechts afbeeldingen die zijn ontworpen om eruit te zien als een echt browservenster.
De oplichters passen het uiterlijk zelfs aan je besturingssysteem aan: windows macOS-apparaten tonen ze windows Mac en windows Windows windows Windows.
Alles wat in dit valse aanmeldingsformulier wordt ingevoerd, wordt rechtstreeks naar de oplichters gestuurd.
Een aanwijzing is dat het venster de browserpagina niet kan verlaten. Probeer het eens naar de rand van je scherm te slepen: het stopt bij de rand van de browser. Als je de browser minimaliseert, verdwijnt het ook.
Het belangrijkste is dat in de echte adresbalk van je browser nog steeds het adres van de oplichtingssite staat, en niet dat van Google.
Hoe blijf ik veilig
Het goede nieuws is dat je deze zwendel met een paar simpele gewoontes kunt voorkomen.
- Vertrouw de link niet. Als je een waarschuwing over je extensie krijgt, ga dan direct naar je ontwikkelaarsdashboard in de Chrome Store en controleer het daar.
- Wees op je hoede voor een gevoel van urgentie. Bij legitieme beleidsprocessen wordt geen gebruik gemaakt van aftelklokken om onmiddellijke actie af te dwingen.
- Kijk in de adresbalk. De echte inlogpagina van Google verschijnt op accounts.google.com in de adresbalk van je browser.
- Controleer het venster. Als een inlogvenster niet buiten de browser kan worden gesleept of verdwijnt wanneer de browser wordt geminimaliseerd, is het waarschijnlijk nep.
- Schakel een sterkere beveiliging bij het inloggen in. Met passkeys en hardwarebeveiligingssleutels zijn gestolen wachtwoorden voor aanvallers veel minder bruikbaar.
- Gebruik beveiligingssoftware met bescherming tegen phishing en internetbedreigingen. Onze Browser Guard, dat ook deel uitmaakt van Malwarebytes Premium , kan helpen bij het blokkeren van kwaadaardige websites en phishingpagina's voordat u gevoelige informatie invoert.
Dit is geen goedkope phishing-pagina. Er wordt gebruikgemaakt van je echte extensie , de huisstijl van Google wordt nagebootst en er wordt een overtuigend gevoel van urgentie gecreëerd.
Als je een waarschuwing over je extensie ontvangt, klik dan niet op de link en probeer de aftelling niet te versnellen. Ga direct naar je ontwikkelaarsdashboard in de Chrome Store en controleer de melding daar.
Bij twijfel: sluit het tabblad.
Als je je gegevens al hebt ingevuld
Handel snel.
- Wijzig je Google-wachtwoord onmiddellijk vanaf een vertrouwd apparaat.
- Meld je af bij alle actieve sessies in de beveiligingsinstellingen van je Google-account.
- Controleer de gekoppelde apps en apparaten op onbekende items.
- Schakel tweestapsverificatie in, bij voorkeur met een wachtwoord of een beveiligingssleutel.
- Controleer je vermeldingen in de Chrome Store op wijzigingen, uploads of nieuwe versies die je niet hebt gepubliceerd.
Indicatoren van compromissen (IOC's)
Domein
dmca-chrome-extensions[.]click
Voorkom bedreigingen voordat ze schade kunnen aanrichten.
Malwarebytes Browser Guard automatisch phishingpagina’s en schadelijke websites. Gratis en met één klik te installeren. Voeg het toe aan je browser →
