Группа исследователей кибербезопасности обнаружила более 100 расширений для Google Chrome, которые под видом безобидных инструментов для кастомизации курсора распространяют рекламное ПО и потенциально нежелательные программы (PUP). Об этом сообщили специалисты Unit42, исследовательского подразделения Palo Alto Networks.
Описание
Как работают вредоносные расширения
Эти расширения, появившиеся в Chrome Web Store за последние 60 дней, предлагают пользователям изменить внешний вид курсора на тематические варианты - например, в стиле аниме, мультфильмов или игр (включая Pokémon). На первый взгляд они выглядят безобидно: после установки предоставляют несколько вариантов курсоров, но также включают кнопку «Download more cursors» для загрузки дополнительных стилей.
Однако при нажатии на эту кнопку пользователь перенаправляется на сторонние сайты, такие как owhit[.]com и pixatab[.]xyz, которые распространяют рекламное ПО или PUP. Многие из этих расширений имеют идентичный исходный код и отличаются только визуальным оформлением.
Технические детали
Исследователи обратили внимание на то, что расширения используют MutationObserver - API, который позволяет отслеживать изменения в структуре веб-страницы. Хотя этот функционал сам по себе не является вредоносным, его наличие в подобных расширениях может указывать на попытки скрытого вмешательства в работу браузера.
Анализ показал, что злоумышленники массово загружают однотипные расширения с разными тематическими оформлениями, чтобы привлечь как можно больше пользователей. Некоторые из них уже имеют более 1000 установок.
Рекомендации для пользователей и администраторов
Обычным пользователям эксперты советуют избегать установки расширений для изменения курсора, особенно если они предлагают загрузку дополнительного контента с подозрительных сайтов. Лучше ограничиваться проверенными инструментами из официального магазина Chrome Web Store и внимательно изучать отзывы перед установкой.
Для администраторов рекомендуется настроить политики безопасности, ограничивающие установку непроверенных расширений в корпоративных браузерах. Это поможет предотвратить случайное проникновение вредоносного ПО в корпоративную сеть.
Вывод
Эта находка в очередной раз демонстрирует, что даже безобидные на первый взгляд расширения могут представлять угрозу. Злоумышленники активно используют социальную инженерию, маскируя вредоносный функционал под полезные инструменты. Пользователям и компаниям стоит оставаться бдительными и регулярно проверять установленные расширения на предмет подозрительной активности.
Индикаторы компрометации
