Новая мошенническая схема нацелена на разработчиков Chrome .
Мошенники рассылают письма, оформленные как официальные «требования об удалении из-за нарушения авторских прав», в которых утверждается, что ваше расширение будет удалено из Chrome Store и у вас есть 48 часов на подачу апелляции.
Это даже выглядит как персонализированная страница. После того как вы введете идентификатор своего расширения для «подтверждения», на странице отобразятся его настоящее название и значок. Но все это — часть фишинговой атаки, цель которой — похитить ваш логин и пароль от Google.
Если злоумышленники получат доступ к учетной записи разработчика, они смогут завладеть расширением, получить доступ к ресурсам разработчика или, возможно, распространить среди пользователей вредоносные обновления.
Что на самом деле происходит
Если вы опубликовали Chrome , вы можете увидеть страницу, похожую на официальное уведомление Google, в котором вас предупреждают, что ваше расширение будет удалено из-за нарушения авторских прав.
На странице вам предлагается ввести идентификатор расширения, после чего отображаются подробные сведения о вашем расширении, номер жалобы и таймер обратного отсчета. Вас призывают войти в аккаунт Google, чтобы подать апелляцию до истечения срока.
Ничего из этого не соответствует действительности. Эта страница не принадлежит Google. Сообщение о нарушении, срок и обратный отсчет являются выдумкой. Цель мошенников — обманом заставить вас ввести свой логин и пароль Google в поддельное окно входа, контролируемое мошенниками.
Самое важное правило, о котором нужно помнить: подлинные предупреждения о вашем расширении появляются в панели разработчика в Chrome Store, а не на сторонних сайтах.
Почему мошенники заинтересованы в учетных записях разработчиков
Chrome имеют доступ к браузерам пользователей и могут обновляться автоматически.
Если злоумышленники получат контроль над учетной записью разработчика, они смогут изменить расширение, получить доступ к ресурсам разработчика или, возможно, распространить вредоносные обновления среди существующих пользователей.
Именно поэтому учетные записи разработчиков являются столь привлекательной мишенью, и именно поэтому подобные мошенничества так распространены.
Как выглядит эта афера
Страница размещена на домене, не имеющем никакого отношения к Google. В проанализированной нами версии сайт использовал адрес dmca-chrome-extensions[.]click.
Несмотря на это, он использует брендинг Google и позиционирует себя как «Центр политики для разработчиковChrome Store».
Сначала на странице запрашивается ссылка или идентификатор вашего расширения. Это выглядит безобидно, и именно поэтому уловка срабатывает.
Для большей убедительности в нем используется ваше собственное расширение
После ввода идентификатора расширения на странице на мгновение появляется сообщение «Поиск расширения…», а затем вокруг вашего реального расширения формируется поддельное уведомление о нарушении авторских прав.
Когда мы проверили это мошенничество с помощью Malwarebytes Browser Guard, оно отобразило название нашего подлинного расширения, его значок и страницу в Chrome Store рядом с поддельной жалобой.
Сайт просто извлекает общедоступную информацию со страницы вашего расширения Chrome Store. Эта информация доступна для просмотра любому пользователю. Мошенники используют её, чтобы поддельное уведомление выглядело достоверно.
Все остальное — выдумка.
Номер жалобы, «дата получения», 48-часовой срок, таймер обратного отсчета и хронология событий генерируются самой мошеннической страницей.
Обратный отсчет нужен для того, чтобы подстегнуть вас
Красный предупреждающий баннер сообщает, что ваше расширение будет навсегда удалено, если вы не предпримите необходимые действия в течение 48 часов, а часы отсчитывают время с точностью до секунды. Весь макет страницы подталкивает вас к одной кнопке: войти через Google, чтобы «подтвердить свою личность» и подать апелляцию.
Этот прием призван создать давление, чтобы вы отреагировали, не успев тщательно проверить информацию.
Поддельное окно входа в систему
При нажатии кнопки «Перейти к подтверждению» откроется окно входа в Google с строкой заголовка, значком замка и адресной строкой accounts.google.com.
Выглядит как настоящий, но это не так.
Это «окно» на самом деле является частью самой веб-страницы. Замок и адресная строка — это всего лишь графические элементы, стилизованные под настоящее окно браузера.
Мошенники даже адаптируют внешний вид под вашу операционную систему, отображая windows Mac windows устройствах с macOS и windows Windows windows Windows .
Всё, что вводится в эту поддельную форму входа, отправляется напрямую мошенникам.
Один из признаков заключается в том, что окно не может выйти за пределы страницы браузера. Попробуйте перетащить его к краю экрана — оно остановится у границы браузера. Если свернуть браузер, оно тоже исчезнет.
Самое главное, что в адресной строке вашего браузера по-прежнему отображается адрес мошеннического сайта, а не Google.
Как оставаться в безопасности
Хорошая новость заключается в том, что нескольких простых привычек достаточно, чтобы не попасться на эту аферу.
- Не доверяйте этой ссылке. Если вы получили предупреждение о вашем расширении, перейдите прямо в панель управления разработчика в Chrome Store и проверьте там.
- С осторожностью относитесь к призывам к срочности. В рамках законных процедур принятия решений не используются обратные отсчеты времени, чтобы подтолкнуть к немедленным действиям.
- Посмотрите на адресную строку. Настоящая страница входа в Google отображается по адресу accounts.google.com в адресной строке вашего браузера.
- Проверьте окно. Если окно входа в систему нельзя перетащить за пределы браузера или оно исчезает при свертывании браузера, скорее всего, это подделка.
- Включите усиленную защиту при входе в систему. Благодаря ключам доступа и аппаратным ключам безопасности украденные пароли становятся гораздо менее полезными для злоумышленников.
- Используйте программное обеспечение для обеспечения безопасности с функциями защиты от фишинга и веб-угроз. Наш Browser Guard, который также входит в состав Malwarebytes Premium , поможет заблокировать вредоносные сайты и фишинговые страницы до того, как вы введете конфиденциальную информацию.
Это не просто грубо сфабрикованная фишинговая страница. На ней используются реальные данные вашего расширения, имитируется фирменный стиль Google и создается убедительное ощущение срочности.
Если вы получили предупреждение о своем расширении, не переходите по ссылке и не пытайтесь обогнать обратный отсчет. Перейдите прямо в панель управления разработчика в Chrome Store и проверьте информацию там.
Если сомневаетесь, закройте вкладку.
Если вы уже ввели свои данные
Действуйте быстро.
- Незамедлительно измените свой пароль Google с надежного устройства.
- Выйдите из всех активных сеансов в настройках безопасности вашей учетной записи Google.
- Проверьте подключенные приложения и устройства на наличие чего-либо незнакомого.
- Включите двухэтапную аутентификацию, желательно с использованием пароля-ключа или ключа безопасности.
- Проверьте свои объявления в Chrome Store на наличие изменений, загрузок или новых версий, которые вы не публиковали.
Индикаторы компромисса (ИКС)
Домен
dmca-chrome-extensions[.]click
Пресекайте угрозы, пока они не нанесли ущерб.
Malwarebytes Browser Guard автоматическиBrowser Guard фишинговые страницы и вредоносные сайты. Бесплатно, устанавливается одним щелчком мыши. Добавьте его в свой браузер →
