Um novo golpe está visando pessoas que publicam Chrome .
O golpe chega na forma de um “pedido de remoção por violação de direitos autorais” com aparência oficial, alegando que sua extensão está prestes a ser removida da Chrome Store e que você tem 48 horas para recorrer.
Parece até personalizado. Depois que você insere o ID da sua extensão para “verificá-la”, a página exibe o nome e o ícone reais da sua extensão. Mas tudo isso faz parte de um ataque de phishing criado para roubar seu nome de usuário e sua senha do Google.
Se os invasores conseguirem acessar uma conta de desenvolvedor, eles poderão assumir o controle da extensão, acessar recursos de desenvolvedor ou, potencialmente, enviar atualizações maliciosas aos usuários.
O que está realmente acontecendo
Se você publicou uma Chrome , pode se deparar com uma página que se parece com um aviso oficial do Google informando que sua extensão está sendo removida por violação de direitos autorais.
A página solicita que você insira o ID da sua extensão e, em seguida, exibe os detalhes reais da sua extensão, juntamente com um número de reclamação e um relógio de contagem regressiva. Ela pressiona você a fazer login com o Google para registrar um recurso antes que o tempo acabe.
Nada disso é verdade. A página não é administrada pelo Google. A notificação, o prazo e a contagem regressiva são falsos. O objetivo é induzi-lo a inserir seu nome de usuário e senha do Google em uma janela de login falsa controlada pelo golpista.
A regra mais importante a ser lembrada: avisos oficiais sobre sua extensão aparecem no painel do desenvolvedor da Chrome Store, e não em sites de terceiros.
Por que os golpistas querem contas de desenvolvedor
Chrome têm acesso aos navegadores dos usuários e podem ser atualizadas automaticamente.
Se os invasores conseguirem assumir o controle de uma conta de desenvolvedor, eles poderão modificar uma extensão, acessar recursos de desenvolvedor ou, potencialmente, distribuir atualizações maliciosas aos usuários existentes.
É isso que torna as contas de desenvolvedores alvos tão atraentes e explica por que golpes como esses são tão comuns.
Como funciona o golpe
A página está hospedada em um domínio que não tem nenhuma relação com o Google. Na versão que analisamos, o site utilizava o endereço dmca-chrome-extensions[.]click.
Apesar disso, o site utiliza a marca do Google e se apresenta como um “Centro de Políticas para DesenvolvedoresChrome Store”.
A página pede primeiro o link ou o ID da sua extensão. Isso parece inofensivo, e é exatamente por isso que funciona.
Ele usa sua própria extensão para parecer convincente
Depois de inserir o ID da sua extensão, a página exibe brevemente a mensagem “Procurando a extensão…” e, em seguida, cria uma notificação de remoção falsa em torno da sua extensão real.
Quando testamos o golpe com Malwarebytes Browser Guard, ele exibiu o nome, o ícone e a página da nossa extensão legítima na Chrome Store ao lado da reclamação falsa.
O site está simplesmente extraindo informações disponíveis publicamente da página da sua extensão Chrome Store. Qualquer pessoa pode ver essas informações. Os golpistas as utilizam para fazer com que o aviso falso pareça legítimo.
O resto é tudo invenção.
O número da reclamação, a “data de recebimento”, o prazo de 48 horas, o cronômetro de contagem regressiva e a linha do tempo dos eventos são gerados pela própria página fraudulenta.
A contagem regressiva serve para te apressar
Uma faixa de aviso vermelha informa que sua extensão será removida permanentemente, a menos que você tome uma atitude em até 48 horas, e um relógio faz a contagem regressiva a cada segundo. Todo o layout direciona você para um único botão: faça login com o Google para “confirmar sua identidade” e apresentar sua contestação.
A urgência tem como objetivo criar pressão para que você reaja antes de ter tempo de verificar a informação.
A janela falsa de login
Ao clicar em “Continuar para a verificação”, aparece uma janela de login do Google com uma barra de título, um cadeado e o endereço exibido accounts.google.com.
Parece autêntico, mas não é.
A “janela” é, na verdade, parte da própria página da web. O cadeado e o endereço são apenas elementos gráficos criados para se parecerem com uma janela de navegador real.
Os golpistas chegam até a adaptar a aparência para se adequar ao seu sistema operacional, exibindo windows Mac windows macOS e windows Windows windows Windows .
Tudo o que for digitado neste formulário de login falso é enviado diretamente aos golpistas.
Um indício é que a janela não pode sair da página do navegador. Tente arrastá-la até a borda da tela e ela vai parar na borda do navegador. Se você minimizar o navegador, ela também desaparece.
O mais importante é que a barra de endereços real do seu navegador continua exibindo o endereço do site fraudulento, e não o do Google.
Como se manter seguro
A boa notícia é que alguns hábitos simples são suficientes para evitar esse golpe.
- Não confie no link. Se você receber um aviso sobre sua extensão, acesse diretamente o painel do desenvolvedor na Chrome Store e verifique lá.
- Desconfie da pressa. Processos políticos legítimos não recorrem a contadores regressivos para forçar uma ação imediata.
- Verifique a barra de endereços. A página de login oficial do Google aparece em accounts.google.com na barra de endereços do seu navegador.
- Teste a janela. Se uma janela de login não puder ser arrastada para fora do navegador ou desaparecer quando o navegador for minimizado, provavelmente é falsa.
- Ative uma proteção de login mais robusta. As chaves de acesso e as chaves de segurança de hardware tornam as senhas roubadas muito menos úteis para os invasores.
- Use um software de segurança com proteção contra phishing e ameaças da web. Nosso Browser Guard, que também faz parte do Malwarebytes Premium , pode ajudar a bloquear sites maliciosos e páginas de phishing antes que você insira informações confidenciais.
Esta não é uma página de phishing rudimentar. Ela usa os dados reais da sua extensão, imita a identidade visual do Google e cria uma sensação convincente de urgência.
Se você receber um aviso sobre sua extensão, não clique no link e não tente apressar a contagem regressiva. Acesse diretamente o painel do desenvolvedor na Chrome Store e verifique a reclamação por lá.
Em caso de dúvida, feche a aba.
Se você já inseriu seus dados
Aja rapidamente.
- Altere sua senha do Google imediatamente a partir de um dispositivo confiável.
- Saia de todas as sessões ativas nas configurações de segurança da sua conta do Google.
- Verifique os aplicativos e dispositivos conectados para ver se há algo desconhecido.
- Ative a verificação em duas etapas, de preferência usando uma senha de acesso ou uma chave de segurança.
- Verifique suas listagens Chrome Store para ver se há alterações, uploads ou novas versões que você não publicou.
Indicadores de Compromisso (IOCs)
Domínio
dmca-chrome-extensions[.]click
Impedir que as ameaças causem qualquer dano.
Browser Guard Malwarebytes Browser Guard páginas de phishing e sites maliciosos automaticamente. É gratuito e se instala com um clique. Adicione-o ao seu navegador →
