В каталоге расширений браузера Chrome появилась серия дополнений, замаскированных под простые браузерные игры. В описании нет ничего подозрительного: мелкая аркада, головоломка или кликер на пару минут простоя. После установки дополнение ведёт себя как обычная забава до того момента, пока с внешнего сервера не придёт команда. Тогда игра исчезает, а вместо неё открывается поддельная страница криптовалютного кошелька. Кампания носит скоординированный характер: расширения собраны по одному шаблону и управляются извне. Основная аудитория риска - владельцы криптовалют, которые держат ключи в браузерных кошельках.
Описание
Обман начинается ещё до первого запуска. Название кошелька не прописано в описании дополнения напрямую. Разработчики разбили его на мелкие фрагменты и спрятали в файлах переводов интерфейса, откуда браузер собирает итоговое имя при установке. Один и тот же кусочек продублирован в нескольких вариантах, чтобы сбить с толку автоматические средства поиска. Инструмент, который ищет упоминания известных брендов обычным сравнением строк, видит набор бессмысленных обрывков, а не название кошелька. Пользователь при этом получает привычную картину: в списке расширений стоит имя TronLink, Trust Wallet или Ledger Wallet Extension и настоящая иконка кошелька. Доверие к знакомому логотипу становится первым шагом к потере средств.
Дальше в дело вступает внешний сервер. Каждый раз при открытии дополнение обращается к узлу, размещённому на площадке Vercel, которая позволяет быстро публиковать веб-проекты. Такой узел выполняет роль командно-контрольного сервера, то есть точки, откуда злоумышленники отдают команды своим программам. Сервер отвечает одним из двух состояний, и переключает их оператор по своему усмотрению. При одном игра открывается как обычно, и пользователь ни о чём не догадывается. При другом игра скрывается, а во всплывающем окне расширения загружается поддельная страница кошелька. Внешне она неотличима от настоящей: тот же шрифт, те же кнопки, тот же порядок полей.
Управление со стороны сервера даёт злоумышленникам заметное преимущество. Адрес поддельной страницы определяется в момент запроса. {Как показало исследование}, расширение лишь получает готовый ответ и отображает то, что ему прислали. Значит, фишинговую нагрузку можно заменить в любой момент без выпуска новой версии дополнения и без повторной проверки в каталоге. Пользователю достаточно один раз открыть расширение в неудачную минуту, чтобы увидеть чужую страницу вместо игры. Домены управляющих узлов построены по единому шаблону: два случайных слова, связанных с играми, и завершающее слово, обозначающее шлюз. Массовая регистрация таких адресов не вызывает подозрений у человека, далёкого от темы.
Отдельного внимания заслуживает способ похищения данных. Канал утечки встроен не в само расширение, а в загруженную фишинговую страницу. Сведения уходят через мессенджер Telegram, поэтому проверка кода дополнения не показывает механизма передачи. Специалистам приходится разбирать уже отрисованную страницу, содержимое которой меняется по команде. Такое разделение обязанностей между расширением и внешним ресурсом усложняет обнаружение: пока игра выглядит безобидно, улик внутри пакета почти нет. Проверка же каждой загружаемой страницы вручную не масштабируется на десятки дополнений.
Чаще всего подделывают кошелёк TronLink, следом идут Trust Wallet и Ledger. Пользователь, который вводит на поддельной странице секретную фразу восстановления или пароль, передаёт злоумышленникам полный контроль над своими активами. Вернуть средства после перевода почти невозможно: транзакции в криптовалютных сетях необратимы, а деньги уходят на адреса, которыми распоряжаются авторы схемы. Ущерб не ограничивается потерянной суммой. Если человек использует одинаковые пароли в других сервисах, под угрозой оказываются и они.
Снизить риск помогают простые привычки. Расширения стоит ставить только из проверенных источников и сверять имя разработчика, а не полагаться на знакомую иконку. Перед вводом секретной фразы полезно убедиться, что открыт официальный кошелёк, а не его копия. Для крупных сумм разумно держать ключи в аппаратном кошельке, который не связан с браузером. Периодический просмотр списка дополнений и удаление всего лишнего тоже даёт результат: чем меньше в браузере случайных расширений, тем ниже шанс однажды увидеть вместо игры чужую страницу.
Для владельцев криптовалют ставка в подобных кампаниях выше, чем в обычном фишинге. Потеря доступа к кошельку означает потерю самих активов, а не временную блокировку аккаунта. Именно поэтому злоумышленники вкладываются в антураж: подбирают узнаваемые имена, копируют оформление, годами поддерживают безобидную игру в рабочем состоянии. Разоблачение такого дополнения требует сопоставления данных из нескольких источников - каталога расширений, ответов управляющего сервера и содержимого поддельной страницы. Пока одни узлы блокируются, другие появляются под новыми случайными именами, и цикл повторяется. Бдительность пользователя в этой цепочке остаётся самым надёжным звеном.
Индикаторы компрометации
