Киберугроза RedDirection: 2,3 млн пользователей под ударом из-за верифицированных расширений

Механизм атаки: Доверие как уязвимость

Кампания RedDirection демонстрирует изощрённую тактику злоумышленников, эксплуатирующих доверие к цифровым платформам. Расширения, включая инструменты для выбора цвета, контроля скорости видео или прогноза погоды, изначально предлагали заявленный функционал и получили статус "верифицированных" в Chrome Web Store и Microsoft Edge Add-ons. Спустя значительное время после публикации, в их код были внедрены скрытые модули, превратившие их в бэкдоры. Эти модули начали фиксировать всю активность в браузере, передавая данные на управляемые злоумышленниками командные серверы (C2), включая домены undiscord[.]com и unyoutube[.]net.

Эксперты Koi Security подчёркивают системную проблему: процессы проверки Google и Microsoft ориентированы "на масштаб, а не на скрупулёзность". Это создаёт ложное чувство безопасности у пользователей, привыкших доверять маркетплейсам крупных платформ. Инцидент RedDirection стал наглядным напоминанием, что даже верифицированное ПО требует постоянной бдительности и независимого контроля.

Проблема обнаружения: Поиск иголки в стоге сена

Несмотря на удаление большинства вредоносных расширений из магазинов, часть инфраструктуры остаётся активной. Для компаний главная сложность заключается в идентификации всех заражённых устройств внутри корпоративных сетей. Поиск требует кросс-референса установленных идентификаторов расширений со списком известных вредоносных ID (например, через Google Workspace, Microsoft Endpoint Manager, EDR-системы или ручные скрипты, проверяющие директории вроде "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Extensions\").

Этот процесс крайне ресурсоёмок. Запросы к каждому устройству создают нагрузку на систему, а масштабирование на тысячи конечных точек, включая оффлайн-устройства, превращает задачу в многонедельный или даже многомесячный проект. Проблема усугубляется долгим сроком присутствия расширений в магазинах - некоторые были доступны годами, что расширяет окно потенциального заражения.

Решение: YARA-правило

Для ускорения детектирования артефактов RedDirection специалисты Stairwell разработали специализированное YARA-правило. Оно позволяет эффективно сканировать системы на наличие конкретных индикаторов компрометации (IoC).