С марта 2026 года в каталогах браузерных расширений начали появляться инструменты, опубликованные от имени Уоррена Баффета, Джона Полсона, Энди Крайгера, Томаса Булковски и других известных инвесторов и трейдеров. Никто из этих людей к разработке отношения не имеет. Всего за несколько месяцев набралось около 30 таких расширений: утилиты для повышения продуктивности, средства защиты приватности, сервисы, связанные с криптовалютами. Суммарное число установок пока измеряется сотнями. Масштаб замысла виден по другому: за десятками внешне независимых продуктов стоит одна команда.
Описание
Обман опирается на особенность магазинов расширений. Имя издателя там не сверяют с реальным человеком, поэтому назваться можно чьим угодно именем, и проверка это пропустит. Покупатель, выбирая расширение, почти никогда не изучает исходный код и редко дочитывает список запрашиваемых разрешений. Решение принимается за секунды. Знакомое имя сокращает этот путь до минимума, и доверие возникает ещё до установки. Злоумышленники перенесли социальную инженерию на шаг раньше: роль фишинговой страницы сыграла сама витрина магазина.
По данным LayerX (теперь эта компания входит в состав Akamai), за внешним разнообразием скрывался единый каркас. Разные названия, разные сайты, разные темы оформления, почти одинаковый код внутри. Совпадение настолько полное, что версия о независимых разработчиках, случайно пришедших к одной реализации, не выдерживает проверки. Речь идёт о централизованной разработке и едином управлении.
Каждое расширение несло два сценария. Первый рассчитан на случайного пользователя и на проверяющего из магазина: он показывает аккуратную панель управления и выполняет безобидные функции. Второй включается только для отобранных жертв и уводит их на сторонние страницы. Выбор между сценариями происходит незаметно для владельца устройства.
Прежде чем что-либо предпринять, расширение выясняет, не наблюдают ли за ним. Оно проверяет, не управляется ли браузер программно, какие у экрана размеры и какие языки указаны в настройках. Автоматизированные среды и изолированные песочницы выдают себя неестественными значениями или пустыми полями. Тогда вредоносная ветка просто не запускается, и проверка видит безобидную программу. Тот же приём защищает от разбора в лабораторных условиях: в одной среде расширение ведёт себя как обычная утилита, в другой - как инструмент кражи.
Отдельная проверка касается языка браузера. Англоязычным пользователям достаётся безобидная панель управления и заявленный набор функций. Для остальных расширение готовит перенаправление на внешний ресурс. Такой отбор даёт сразу несколько выгод: снижается риск разоблачения, падает вероятность блокировки при проверке в магазине, а жертвы выбираются точечно. Поведение снова оказывается разным в зависимости от окружения.
Конечный адрес в части образцов не хранится целиком, а собирается по фрагментам прямо во время работы. Приём несложный, однако он затрудняет автоматический поиск и мешает составлять сигнатуры для сканеров. Заодно он скрывает саму инфраструктуру, к которой направляют пользователя.
Домены для расширений регистрировали незадолго до их появления в каталогах. Сайты использовали одни и те же шаблоны оформления, а адреса поддержки на страницах разных, якобы не связанных продуктов вели к общим ресурсам. Такие пересечения указывают на единого владельца. Показательно, что значительная часть инфраструктуры продолжает работать даже после удаления десятков расширений: запас прочности позволяет быстро выпускать новые имена на прежней технической базе.
Часть перенаправлений вела на страницы, имитирующие проверку криптовалютного кошелька. Пользователя просили ввести фразу восстановления под предлогом подтверждения личности или восстановления доступа. После отправки данных злоумышленники получали полный контроль над кошельком. Это лишь один из способов заработка, а не главная особенность кампании. Куда важнее сам каркас: готовый механизм, который выстраивает доверие через имя издателя, выборочно перенаправляет людей и доставляет содержимое уже после установки.
В исходном коде обнаружились развёрнутые пояснительные комментарии к функциям и логике работы. По объёму и стилю они напоминают текст, который обычно создают генеративные помощники при написании программ. Сам по себе стиль разработки не доказывает авторство, но говорит о другом: каркас легко копировать, менять и разворачивать с минимальными усилиями. Часть работы по построению доверия тоже оказалась автоматизирована.
Для владельцев браузеров вывод простой. Перед установкой расширения разумно смотреть не на имя издателя, а на запрашиваемые разрешения, историю обновлений и отзывы. Не стоит вводить фразу восстановления кошелька на страницах, куда привёл переход из расширения, каким бы убедительным он ни казался. Неиспользуемые расширения лучше удалять, а браузер и операционную систему держать обновлёнными. Фишинговые страницы появляются ежедневно и сами по себе никого не удивляют. Необычен способ добычи жертв: чужая репутация, взятая напрокат, и инфраструктура, рассчитанная на то, чтобы пережить любое отдельное расширение, домен или сайт.
Индикаторы компрометации
