Unele au primit chiar insigne „Verificat” și „Recomandat” de la Google și Microsoft
Mai multe extensii de browser cu un total combinat de peste 2,3 milioane de descărcări ar fi deturnat sesiuni de navigare și ar fi urmărit activitatea utilizatorilor. Multe dintre aceste add-on-uri malițioase au rămas disponibile în magazinele web Chrome și Edge timp de ani de zile, unele primind chiar și râvnitele insigne „Recomandat” și „Verificat”, ridicând întrebări serioase cu privire la procesele de revizuire a extensiilor utilizate de Google și Microsoft.
Potrivit cercetătorilor de la Koi Security, extensiile malițioase făceau parte dintr-o operațiune coordonată care a implicat cel puțin 18 add-on-uri cunoscute, listate în magazinele de extensii Chrome și Edge. Denumită „RedDirection”, campania de deturnare a browserului se crede că a infectat peste 2,3 milioane de utilizatori pe ambele browsere, fiind una dintre cele mai mari operațiuni de acest gen documentate vreodată.
Una dintre extensiile suspecte, The Color Picker – Geco, avea peste 100.000 de instalări pe Chrome și o evaluare de 4,2 stele din peste 800 de recenzii. A primit, de asemenea, evaluări la fel de mari în magazinul Edge Add-ons al Microsoft, cu peste 1.000 de instalări, oferindu-i o aparență de legitimitate.
Descriind extensia ca pe un „cal troian atent lucrat”, analistul Koi Security, Idan Dardikman, a menționat că aceasta nu a fost opera unor escroci amatori, ci mai degrabă o operațiune sofisticată orchestrată de persoane care știau clar ce fac. Deși extensia a fost de atunci eliminată din Chrome Web Store, era încă disponibilă în magazinul Edge Add-ons la momentul redactării.
Alte extensii malițioase din campanie includ diverse tastaturi emoji, instrumente de prognoză meteo, controlere de viteză video, proxy-uri VPN pentru Discord și TikTok, activatoare de teme întunecate, amplificatoare de volum și deblocatoare YouTube. Majoritatea dintre ele și-au îndeplinit funcțiile publicitate rezonabil de bine, ceea ce le-a permis să rămână nedetectate ani de zile.
Multe dintre aceste extensii ar fi început inofensiv, unele câștigând chiar o insignă „Verificat” pe Chrome Web Store. Codul a rămas curat ani de zile înainte ca funcționalitatea malițioasă să fie introdusă în tăcere prin actualizări. Aceste actualizări au permis instalarea automată a codului ascuns pe milioane de dispozitive pe ambele browsere, fără nicio interacțiune din partea utilizatorului.
Cercetătorii Koi au emis o avertizare prin care îndeamnă utilizatorii afectați să elimine imediat toate extensiile suspecte din Chrome și Edge. Utilizatorilor li se recomandă, de asemenea, să își șteargă datele de navigare pentru a elimina identificatorii de urmărire stocați și să ruleze o scanare malware la cerere la nivel de sistem pentru a verifica eventuale infecții suplimentare.
Lista completă a extensiilor malițioase legate de campania RedDirection este disponibilă pe blogul Koi Security de pe Medium.
