Скрытая угроза в пикселях: кампания StegoAd заразила 2,6 миллиона браузеров через стеганографию

Главная техническая особенность StegoAd заключается в способе доставки вредоносного кода. Злоумышленники прятали исполняемые скрипты внутри безобидных на вид PNG-иконок, изображений WebP и даже файлов шрифтов WOFF2. Использование стеганографии позволяло обходить сканеры безопасности, которые видели лишь графический контент. Расширение, попав в браузер жертвы, извлекало скрытую полезную нагрузку, расшифровывало её и запускало на исполнение.

Атака развивалась по пятиэтапной схеме, которую можно соотнести с матрицей MITRE ATT&CK. На первом этапе злоумышленники публиковали в магазине Microsoft Edge Add-ons расширения, маскирующиеся под популярные инструменты: блокировщики рекламы, VPN-сервисы, переводчики и загрузчики видео. Для этого использовалось более 90 одноразовых аккаунтов разработчиков. Каждое расширение действительно выполняло заявленную функцию, что позволяло получать положительные отзывы и не вызывать немедленных подозрений.

Второй этап включал сложную систему уклонения от обнаружения. Вредоносный код оставался в спящем режиме от трёх до пяти с половиной дней после установки. Этого времени достаточно, чтобы пройти первичную песочницу и автоматические проверки магазина. Дополнительно применялся вероятностный фильтр: только 10% заражённых машин активировали скрытые функции. Расширение также отслеживало открытие инструментов разработчика в браузере и в этом случае бесконечно продлевало период бездействия. Параллельно командный сервер (C2) проводил собственную валидацию каждого входящего запроса, проверяя цифровой отпечаток расширения и специальные заголовки. Исследователям, пытавшимся напрямую запросить вредоносный сервер, возвращался пустой шаблонный ответ, лишённый исполняемого кода.

Предоставленный анализ подтвердил, что возможности злоумышленников выходили далеко за рамки мошеннической рекламы. Расшифрованная полезная нагрузка содержала бэкдор для удалённого выполнения кода. Командный сервер мог передать произвольный JavaScript, который исполнялся в контексте браузера. Фактически злоумышленники получали полноценный инструмент удалённого администрирования (RAT) с возможностью выполнения любых операций от имени жертвы.

Особую опасность представляли модули кражи учётных данных Google. Вредоносный скрипт перехватывал пароли и одноразовые коды двухфакторной аутентификации прямо на странице accounts.google.com. Собранная информация в закодированном виде отправлялась на домен mitarchive.info. Наряду с этим злоумышленники охотились за учётными записями администраторов WordPress и сессионными файлами cookie, что открывало доступ к корпоративным ресурсам и системам управления контентом.

Для сбора телеметрии преступники использовали легитимную инфраструктуру Google Analytics. Семь поддельных идентификаторов отслеживания позволили в реальном времени наблюдать за более чем 2,6 миллиона заражённых устройств через панели управления Google. Такой подход не требовал создания собственных каналов связи, маскировал вредоносный трафик под обычную аналитику и оставался незаметным для стандартных систем мониторинга безопасности.

Обфускация кодовой базы достигала уровня, редко встречающегося в угрозах для браузерных расширений. Единый фреймворк маскировки использовал более пятнадцати полиморфных вариантов именования функций и переменных. Внешне различные расширения работали идентично, что делало неэффективным обнаружение по фиксированным сигнатурам. Операторы кампании демонстрировали глубокое понимание экосистемы браузера, оперативно перенастраивая сетевую инфраструктуру, меняя схемы шифрования и проксируя трафик через Cloudflare Workers.

Показательным стал переход злоумышленников с устаревающего стандарта расширений Manifest V2 на более строгий Manifest V3. Это изменение архитектуры браузерных дополнений должно было ограничить возможности вредоносного кода. Однако авторы StegoAd адаптировали свои инструменты, сохранив полную функциональность в новых условиях. Такой шаг подтверждает, что злоумышленники тщательно следят за технологическими изменениями и оперативно модернизируют свои инструменты.

Все выявленные вредоносные расширения удалены из магазина Microsoft Edge Add-ons. Связанные с ними аккаунты разработчиков заблокированы. Пользователям рекомендуется регулярно проверять список установленных расширений, удалять неиспользуемые и с осторожностью относиться к продуктам от малоизвестных разработчиков.

Сдвиг в сторону стеганографической доставки вредоносного кода сигнализирует о росте изощрённости атак на браузерную экосистему. Классические антивирусные решения, не анализирующие графический контент, становятся неэффективными против подобных угроз. StegoAd демонстрирует, что защита конечных точек всё чаще требует комплексного подхода, объединяющего поведенческий анализ, контроль сетевого трафика и детектирование аномалий на уровне браузера.

Domain

• dealctr.com
• dreamhov.de
• gmzdaily.com
• ipaglov.com
• liveupdt.com
• mitarchive.info
• myec2.com
• somavelee.workers.dev
• yt.qingcaila.top
• ytmp4.page

URL

• https://bai.qingcaila.top/yt/working.js
• https://ch3.somavelee.workers.dev
• https://gmzdaily.com
• https://gmzdaily.com/ext/qm.php?f=svr
• https://go.skimresources.com
• https://ipaglov.com/ext/rd.php?f=ch3
• https://jenthusmith.github.io/ga/ga4.html
• https://mitarchive.info/alt.php
• https://mitarchive.info/ext/gagen1.html
• https://mitarchive.info/fixed.php
• https://mitarchive.info/logkep.php
• https://mitarchive.info/reads.php
• https://mitarchive.info/ref2.php
• https://mitarchive.info/tshop2.php
• https://myec2.com/ext/load.php?f=ga.png
• https://r.linksprf.com/v1/redirect
• https://r.srvtrck.com/v1/redirect
• https://r.v2i8b.com/api/v1/bid/redirect
• https://refeuficn.github.io/recapt/recapt.html
• https://sovrn.co/
• https://www.dealctr.com/ext/load.php?f=bas.png
• https://www.dealctr.com/ext/rd.php?f=ga
• https://www.dealctr.com/rby/ext/load.php?f=svr.png
• https://www.dreamhov.de/ext/load.php?
• https://www.liveupdt.com/ext/load.php?f=bas.png
• https://www.liveupdt.com/ext/load.php?f=svr.png
• https://www.liveupdt.com/ext/rd.php?f=bai
• https://www.liveupdt.com/ext/ua.php?c=jsonrule2
• https://www.liveupdt.com/ext/ua.php?c=uftone
• https://www.liveupdt.com/geo.php
• https://www.liveupdt.com/serv/chitika.html
• https://www.liveupdt.com/src/ext/load.php?f=svr.png
• https://www.liveupdt.com/tmp/js.php
• https://www.liveupdt.com/tmp/wlib.php
• https://www.mitarchive.info/ext/load.php?f=bas.png
• https://www.trendupdeal.com/redirect.php
• https://yt.qingcaila.top/ytBlocker.json

Extension

• "Download" Button for YouTube jbmkcmhocoddcokjkahpcchanlmiffhg
• "Save" Button for Pinterest fhkijdlfjnpimenfpnegkecbbijmoipm
• #Best# PDF Saver jebcdimkcimkafekgbgbhookdajcoeib
• ...Page Screenshot Clipper maiackahflfnegibhinjhpbgeoldeklb
• 7TV nmhdjlflloeeahacgomilnhmpfnhlpkn
• Adblock (μBlock clone) kmiahfbflcnmlobepelpgkmolhodmiek
• Adblock aooacabidfijofopjaeligonlfobjcjb
• Adblock dckihkcdmjmlkndgmmgplpcnkmdpangb
• Adblock For Edge kikacehfccglblphddbifmiaeiglfdfi
• Adblock for Youtube afakckepbbffmnoghgpfnnebijeahjcb
• Adblock for Youtube gclhifbbggfamoojmienffegbmmfnfll
• Adblock for Youtube™ nipggfgilmoiofmnkbeabghbcaohmjih
• Adblock Master dgmpkflgbcbpjgniahjegbpelmofbgnn
• Adblock Master for Youtube jnakfjmfmjmfpmdnghedafdphdanbjkh
• Adblock Master hninibdhkeepfndhcdknlijeapngbgdp
• Adblocker FX fkkoeecbjckjpnmenebojblcljjgbpoj
• AdBlocker onlofoccaenllpjmalbnilfacjmcfhfk
• Adblocker Plus for YouTube™ imiheoejheaebigkjaeilfmekiikjdbd
• AdFly Skipper for Edge nhfohdhgahjpmniccbgflilignkcnmai
• Ads Block Ultimate fbobegkkdmmcnmoplkgdmfhdlkjfelnb
• AdSkip-爱奇艺 mimmainmmkddahakleojidjaimaofndp
• AI Search GPT for Edge beemogkfhphmjghmkghdaggidgohohee
• AI Search with ChatGPT jgngkchljnldpnjimaboboomjmpfpoie
• AI Weather Forecast iaehhmhmdidpkfmddiodkloefndpggcj
• AliExpress Helper elecjoakfjcmjoppfconlfgfemjcaoea
• Auto Skip Ads on YouTube dcelinkcepeidliddjhapgjokheoldjb
• Axure RP Viewer aekfeebhjlmielppjlhebapokdkelion
• Batch Image Downloader hnleilhpfbdofpdnnpjggafhncienakg
• Batch Image Downloader ibfjnghdeenopfkpbmnkablkfejnlnif
• Best Speedtest Tool eklcgjodcnhhcghpbhehhbnmjncbopcg
• Best YouTube Adblocker cjjcndlebdepeddfopnhpifmbfecocfh
• Color by Number aljmdjbcbkanlhnmcdjbefaomgbekhno
• Color Enhancer bmmchpeggdipgcobjbkcjiifgjdaodng
• ColorZilla mdjeohcdegpfoppocljbccpognjlkjke
• Convert Everything ielbkcjohpgmjhoiadncabphkglejgih
• Cool Cursor ajbkmeegjnmaggkhmibgckapjkohajim
• CrxMouse - Super Drag pohfogacehhgefhgmcmnojflfakllkal
• CrxMouse Gestures imcbcfmohachfahkbgijokokjpfmoogb
• Custom New Tab for Edge dbhgpbaaedlknnnochmkjfacnfnakkfa
• Download All Images hnggnhinapdcjocbciajaffnofecfale
• Downloader for Instagram higdalghhdbfffdjdiaenminajlmmldb
• Edge Web Highlighter ijgobfhjjipoljjcejmafocdnfnloflm
• Efficient Adblocker for Youtube oejbpnadmkdiofacgknaaagbmmonhgpb
• Enhance YouTube™ jecnjeedhbokmpckobjbgieglfjcomek
• Evernote in Pinned Tab elljfaejhdaplocgcejlhfemgimbmcdp
• Focus To-Do: Pomodoro Timer & To Do List nlapjaaepfeadiecaipnacimidfjginj
• Free Online Video Downloader bpdanoaacmebjgfjdmekfcfgmnaoekim
• G.B.B.D Translator fdjpommjpahieenehallhicdhponhacm
• GIPHY for Edge gggjlnkbmgmjboipaegjmjmehmcekamo
• Gmail Checker nhjdhmbdahdidccpobobccagmmijndmp
• Google Hangouts adnahjjfjjemdiefpobclponnhkijnmo
• Google search link fix mjofmhcbolkekhebpccldlbdamnfjefc
• Google Translate in Right Click fcoongackakfdmiincikmjgkedcgjkdp
• Hiddence VPN akfklmfpgmkkhiiolnfbhalkeccjnmeb
• HLS Stream Downloader fgbfcndckldbjifhjgijpjmnpekkelkb
• IG Downloader for Edge ncbpkjcnklnbnkjpcamhhoedlkljeolo
• Image Downloader - Batch Download ngeoikidkjbegoifbnmfimacmbilfcgi
• Image Downloader Pro gnbnbmnldhfoplgjojhepikgjanaplle
• Imageye ikfdcmchafnmklcndfegdlefcfoaggni
• ImTranslator bbofakpgfmlfjpjcahodgpbddocpibge
• iQiyi Adblock hlkenllnegiplhjhpobgangolfkjcgab
• iVideo Downloader amfboegfahhedgehddflgcfbdaapllfj
• iYouTubeToMP4 bemebcpaekkmffjjbdakpipemmmlgchb
• Language Reactor hffpfdhdjpbnaddaidajedimmpckekkl
• Live Start Page egbkgelnkodaldbpkgjmhcekjakkcpnk
• Magic Actions for YouTube pjhoiegecdlpaohfffpajaldpbilngog
• Marinara: Pomodoro® Assistant mebgpfbaibhepnkljpimlijicgkbangk
• Mouse Tooltip Translator ibjjllhemkfgfbkgohldepcdgiigpdkb
• Natural Reader Text to Speech eopjamlpanhfkcbnoeofcnmdfdiogfgl
• New Tab - Customized Dashboard edohfgmjmdnibeihfcajfclmhapjkooa
• Night Mode engcfdjknekakgpjkhdobneidcpfbfgm
• Night Mode pgcamkdibinodcpkhenjmofbfobpebpn
• One Key Translate jihipmfmicjjpbpmoceapfjmigmemfam
• Picture-in-Picture Playing kemjiblbeciejjlgobbkffbpnceieefh
• Piggy - Automatic Coupons gmaoimcaoimgmomockloieoifjocpkmf
• Pinterest Save Button kakgeonhimhojdncehlopejkfaapboeo
• Return YouTube Dislike cgoigjefilgfmcjnnendlpdaonlfoncf
• RSS Feed gmciomcaholgmklbfangdjkneihfkddd
• Save as PDF mlgefgipndlgdfjfgnjfheigkagjieea
• Save Pinterest on Right Click glgbgppjjkldoifgpbhbpbkbcdjpgpfj
• Screen Shader | Dark Mode olcibgopfmndlnghnmogcgdhdffdbicg
• Similar Sites - Discover Related Websites fifeankddgioinbcchlokclbcgjlopjj
• Similar Sites for Edge fhhinoefbjlmhakpjohnpabdobgmphli
• Simple mass downloader dbhdfkiddhdhmcikjdgblfjbenjfjlfh
• Social Book Post Manager inelenlaldjofeekhjinpjkacjokagke
• SpeakIt! badiigfpcpfckbhmpmkhokagppaadkim
• Speed Control for Youtube eindenipbnkpeofhpjjimphfchmjoohe
• Spell & Grammar Check Tool fljmegmgjebjdionedkjfgffikhnmcgg
• ssYoutube - Video Downloader okmfpehbgckbneedidbladdaiekikcdo
• Summary with ChatGPT dokiamnhbobapjfhhhcjlfplabeofamp
• Super Dark Mode for Edge lkmeakjjodlkhbikbpdoeicfodaklkna
• TikMate jhahljcmjemimhchigiaigklabnpodgo
• TikTok APP for Edge celdediiemogjpfcjocdbildilkccepl
• TikTok Downloader Without Watermark flcgalphjnojjefjnnimnejbkkefbjgo
• To QRcode cgjomicbgmoadggnjbdiafpjlodmafkp
• Transkriptor lplondnihmdhjokafldkcfnjclkhigpm
• Translate Officer jjdfciihihcpgfgmoonfpgglbgclpfai
• Translate Selected Text with Google obocpangfamkffjllmcfnieeoacoheda
• Translate Selected Text with Right Click fmchencccolmmgjmaahfhpglemdcjfll
• Trusted VPN for Edge - Free VeePN klmfgbnlbfgpdenpdddpdfigmnkmchil
• Turbo Download Manager bpjnmlookdfciblphehedlcbpmignahe
• Twitch Custom Emotes - FrankerFaceZ johcbgkljdbebbloakcollpmigpigkpd
• Twitter Bulk Download lfdoadipcejhmpcpfkgkdionjlnfempa
• Unblock Youku ajnjfpjimckjhfcpkaldennpdjglmeml
• Undo Closed Tabs amemnenomfejhfmfiheekmbcigfkolel
• UseChatGPT.AI hcmfdagipflbaagmcnhnhabkmjkopcke
• U-Tube Downloader nphphgkcccnlmdiihcedabnhfacfmojk
• Video & MP3 Downloader oiolhdeinoaidggfcpebifcbedppbgog
• Video Downloader Premium jgphopeamnghlcekffldkpnbhmiadnbc
• VPN pdnjhppcgkdbjolbeplcabkcfmpnbjmh
• Weather Forecast hecicojipmfmablnbhknedademofbbpk
• Webpage Screenshot for Edge eblienbdkbgiigaebhmljbedkafiobkj
• Youtube Adblock Online hmjdegfgppjddmmojloflajkelegnjdp
• Youtube Download dhnibdhcanplpdkcljgmfhbipehkgdkk
• Youtube To MP4 Downloader cfilkckedhoniijcpjfgihelgepflpni
• YouTube Transcript to Text nfincgjfplibcdcncfkeehldffppnlnp
• YouTube™ Adblock Plus flmkfmdmcaepdaoedepihfkhmgopiago
• ZLibrary Searcher ffedaeoanbhgmanhhecfjodpopcjnhkc
• 一键翻译 nepdfkaidpemglngbgpnmmhnleiekpin
• 鼠标手势 (Mouse Gestures) cbopgngpbfeoecnbebghbbhmdadmllce

• Microsoft_Edge_Security_StegoAd.pdf