119 Edge обещали полезные инструменты, но вместо этого загружалось вредоносное ПО

Компания Microsoft удалила из магазина Edge 119 расширений, которые были связаны с одной рекламной кампанией.

В статье под названием«Inside StegoAd: How We Disrupted a Massive Malicious Extension Campaign»(«Изнутри StegoAd: как мыпресекли масштабнуюкампанию по распространению вредоносных расширений») исследователи из Microsoft подробно описывают, как им удалось раскрыть и ликвидировать сложную вредоносную кампанию, в которой для заражения пользователей использовались расширения браузера. По данным Microsoft, в рамках этой кампании было задействовано 119 вредоносных расширений браузера, которые скачали 2,6 миллиона пользователей.

Все эти расширения обещали — и действительно предоставляли — какой-то базовый набор функций: блокировку рекламы, VPN, переводчики, программы для скачивания видео, калькуляторы, расширения с купонами и так далее. Но со временем они оказались«замаскированными»и начали незаметно загружать дополнительное вредоносное ПО.

Среди полезной нагрузки было вредоносное ПО, используемое для мошенничества с рекламой, а также расширения, которые запускали произвольный код JavaScript, передаваемый с сервера: они похищали учетные данные Google и коды двухфакторной аутентификации при входе в систему, собирали учетные данные администраторов WordPress и массово выводили файлы cookie для перехвата сеансов.

Название кампании «StegoAd» образовано от слов «реклама» и «стеганография», под которой понимаются методы сокрытия секретной информации в том, что на первый взгляд не вызывает подозрений. В данном случае речь идет о сокрытии кода в изображениях.

При этом киберпреступники не только пытались остаться незамеченными, выжидая некоторое время и скрывая вредоносный код внутри изображений, но и оставляли некоторых жертв в покое. Некоторые из этих расширений становились вредоносными лишь примерно в 10 % случаев установки, причём именно в этих случаях запускался следующий этап работы вредоносного ПО, тогда как остальные ~90 % оставались незатронутыми (по крайней мере, в рамках данной попытки запуска). Кроме того, в некоторых случаях они повторно использовали названия хорошо известных легитимных расширений, чтобы вызвать у пользователей дополнительное доверие.

Расширения для браузеров являются источником дохода для киберпреступников, поскольку их установка сродни установке небольшой программы, которая работает внутри вашего браузера и может отслеживать и передавать информацию обо всех ваших действиях в Интернете.

Я слышу, как некоторые из вас думают: «Я не пользуюсь Edge». Или: «Я пользовался им всего один раз — чтобы скачать и установить свой любимый браузер». Но хотя Microsoft обнаружила и проанализировала эту кампанию, методы, использованные в ней, применимы к браузерам на базе Chromium в целом.

Эта кампания была направлена не столько на использование уязвимости браузера, сколько на то, чтобы обманом заставить пользователей установить расширение, выглядящее надежным, а затем с помощью сложных методов маскировки избежать обнаружения в течение времени, достаточного для взлома систем.

Как оставаться в безопасности

Всегда будьте осторожны при загрузке расширений, даже из авторитетных магазинов приложений. Как мы уже не раз убеждались, злоумышленникам удаётся разместить свои приложения или расширения в списках, хотя от превращения их в вредоносное ПО их отделяет всего одно обновление. Поэтому убедитесь, что вы доверяете разработчику, и не полагайтесь исключительно на отзывы.

Используйте актуальное решение для обеспечения безопасности в режиме реального времени, чтобы обнаруживать и удалять вредоносные расширения с вашего устройства, а также блокировать подключения к вредоносным доменам и IP-адресам. Удалите из браузера известные вредоносные расширения. Ниже приведён алфавитный список вредоносных расширений, обнаруженных исследователями, с указанием их названий.

Обратите внимание, что может существовать несколько расширений с одинаковым названием. Если вы не уверены, входит ли установленное вами расширение в их число, проверьте, совпадает ли его идентификатор с указанным в списке. Если вы предпочитаете искать расширения по идентификатору, вы найдёте их в отчёте Microsoft, где они сгруппированы по-другому (страницы 40–43).

Мы не просто сообщаем об угрозах - мы их устраняем

Риски кибербезопасности не должны выходить за рамки заголовка. Загрузите Malwarebytes сегодня, чтобы предотвратить угрозы на своих устройствах.