Специалисты Microsoft раскрыли и нейтрализовали масштабную вредоносную кампанию StegoAd, направленную на пользователей браузерных расширений. Название операции объединяет слова "стеганография" и "рекламное ПО". Злоумышленники действовали с 2021 года, но наиболее опасная фаза с применением стеганографии продолжалась с марта 2024 по апрель 2026. За это время 119 вредоносных расширений скрытно заразили устройства примерно 2,6 миллиона пользователей, оставаясь незамеченными для классических средств защиты.
Описание
Главная техническая особенность StegoAd заключается в способе доставки вредоносного кода. Злоумышленники прятали исполняемые скрипты внутри безобидных на вид PNG-иконок, изображений WebP и даже файлов шрифтов WOFF2. Использование стеганографии позволяло обходить сканеры безопасности, которые видели лишь графический контент. Расширение, попав в браузер жертвы, извлекало скрытую полезную нагрузку, расшифровывало её и запускало на исполнение.
Атака развивалась по пятиэтапной схеме, которую можно соотнести с матрицей MITRE ATT&CK. На первом этапе злоумышленники публиковали в магазине Microsoft Edge Add-ons расширения, маскирующиеся под популярные инструменты: блокировщики рекламы, VPN-сервисы, переводчики и загрузчики видео. Для этого использовалось более 90 одноразовых аккаунтов разработчиков. Каждое расширение действительно выполняло заявленную функцию, что позволяло получать положительные отзывы и не вызывать немедленных подозрений.
Второй этап включал сложную систему уклонения от обнаружения. Вредоносный код оставался в спящем режиме от трёх до пяти с половиной дней после установки. Этого времени достаточно, чтобы пройти первичную песочницу и автоматические проверки магазина. Дополнительно применялся вероятностный фильтр: только 10% заражённых машин активировали скрытые функции. Расширение также отслеживало открытие инструментов разработчика в браузере и в этом случае бесконечно продлевало период бездействия. Параллельно командный сервер (C2) проводил собственную валидацию каждого входящего запроса, проверяя цифровой отпечаток расширения и специальные заголовки. Исследователям, пытавшимся напрямую запросить вредоносный сервер, возвращался пустой шаблонный ответ, лишённый исполняемого кода.
Предоставленный анализ подтвердил, что возможности злоумышленников выходили далеко за рамки мошеннической рекламы. Расшифрованная полезная нагрузка содержала бэкдор для удалённого выполнения кода. Командный сервер мог передать произвольный JavaScript, который исполнялся в контексте браузера. Фактически злоумышленники получали полноценный инструмент удалённого администрирования (RAT) с возможностью выполнения любых операций от имени жертвы.
Особую опасность представляли модули кражи учётных данных Google. Вредоносный скрипт перехватывал пароли и одноразовые коды двухфакторной аутентификации прямо на странице accounts.google.com. Собранная информация в закодированном виде отправлялась на домен mitarchive.info. Наряду с этим злоумышленники охотились за учётными записями администраторов WordPress и сессионными файлами cookie, что открывало доступ к корпоративным ресурсам и системам управления контентом.
Для сбора телеметрии преступники использовали легитимную инфраструктуру Google Analytics. Семь поддельных идентификаторов отслеживания позволили в реальном времени наблюдать за более чем 2,6 миллиона заражённых устройств через панели управления Google. Такой подход не требовал создания собственных каналов связи, маскировал вредоносный трафик под обычную аналитику и оставался незаметным для стандартных систем мониторинга безопасности.
Обфускация кодовой базы достигала уровня, редко встречающегося в угрозах для браузерных расширений. Единый фреймворк маскировки использовал более пятнадцати полиморфных вариантов именования функций и переменных. Внешне различные расширения работали идентично, что делало неэффективным обнаружение по фиксированным сигнатурам. Операторы кампании демонстрировали глубокое понимание экосистемы браузера, оперативно перенастраивая сетевую инфраструктуру, меняя схемы шифрования и проксируя трафик через Cloudflare Workers.
Показательным стал переход злоумышленников с устаревающего стандарта расширений Manifest V2 на более строгий Manifest V3. Это изменение архитектуры браузерных дополнений должно было ограничить возможности вредоносного кода. Однако авторы StegoAd адаптировали свои инструменты, сохранив полную функциональность в новых условиях. Такой шаг подтверждает, что злоумышленники тщательно следят за технологическими изменениями и оперативно модернизируют свои инструменты.
Все выявленные вредоносные расширения удалены из магазина Microsoft Edge Add-ons. Связанные с ними аккаунты разработчиков заблокированы. Пользователям рекомендуется регулярно проверять список установленных расширений, удалять неиспользуемые и с осторожностью относиться к продуктам от малоизвестных разработчиков.
Сдвиг в сторону стеганографической доставки вредоносного кода сигнализирует о росте изощрённости атак на браузерную экосистему. Классические антивирусные решения, не анализирующие графический контент, становятся неэффективными против подобных угроз. StegoAd демонстрирует, что защита конечных точек всё чаще требует комплексного подхода, объединяющего поведенческий анализ, контроль сетевого трафика и детектирование аномалий на уровне браузера.
Индикаторы компрометации
Технический отчет
