Wprowadzenie do problemu / definicja luki
Rozszerzenia przeglądarki od dawna są „uprzywilejowanymi” mini-aplikacjami: mają dostęp do kart, treści stron, ciasteczek, a czasem do całych domen (host permissions). To czyni je idealnym nośnikiem infostealera lub narzędzia do przejęć sesji i kont, zwłaszcza gdy użytkownik instaluje dodatek „dla wygody” (AI, produktywność, narzędzia do social media).
W lutym 2026 badacze opisali kilka kampanii, które pokazują, że problem nie dotyczy wyłącznie „podejrzanych sklepów”, ale także oficjalnych ekosystemów i mechanizmów dystrybucji — oraz że atakujący świetnie radzą sobie z omijaniem moderacji poprzez re-upload i spraying.
W skrócie
W jednym nurcie informacji pojawiają się trzy szczególnie istotne wątki:
- CL Suite by @CLMasters: rozszerzenie podszywające się pod narzędzie dla Meta Business Suite/Facebook Business Manager, które wykrada sekrety TOTP i kody 2FA, eksporty „People” oraz dane analityczne i konfiguracyjne biznesu do infrastruktury atakującego (m.in.
getauth[.]pro) i opcjonalnie na Telegram. - AiFrame / fałszywe asystenty AI: klaster rozszerzeń reklamowanych jako ChatGPT/Gemini/Grok/Claude/DeepSeek itp., które używają pełnoekranowych zdalnych iframe’ów (UI ładowane z internetu), co pozwala atakującym „dokładać funkcje” bez aktualizacji w Chrome Web Store; w tym ekstrakcję treści, elementy speech-to-text oraz scenariusze celujące w Gmaila.
- VK Styles (VKontakte): kampania przejmowania kont użytkowników VK poprzez rozszerzenia udające narzędzia personalizacji, obejmująca m.in. wymuszone subskrypcje, mechanizmy utrzymywania persystencji (reset co 30 dni) i manipulacje elementami ochrony (CSRF).
Kontekst / historia / powiązania
Wspólnym mianownikiem opisanych kampanii jest profesjonalizacja:
- „Extension spraying” i re-upload po zdjęciu ze sklepu
Zamiast jednej wtyczki z milionem instalacji — wiele klonów pod różnymi nazwami i identyfikatorami. To rozprasza ryzyko blokady i utrudnia użytkownikom weryfikację „czy mam tę konkretną”. Malwarebytes wprost opisuje to jako technikę rozpraszania ryzyka wykrycia i masowych takedownów. - Zdalne komponenty (iframe) jako obejście review
Gdy logika „funkcji” siedzi na serwerze atakującego, sklep widzi mniej podejrzanego kodu w paczce — a operator może zmieniać zachowanie po instalacji, bez wersjonowania w Web Store. W AiFrame rdzeń UI jest ładowany z domen kontrolowanych przez operatora (np. infrastrukturatapnetic[.]proi subdomeny). - Ataki na „powierzchnie wysokiej wartości”
Meta Business Manager i Gmail to miejsca, gdzie nawet pojedynczy incydent może oznaczać: przejęcie reklam, oszustwa finansowe, przejęcie komunikacji, pivot do kont powiązanych.
Analiza techniczna / szczegóły
1. CL Suite: 2FA, TOTP i dane Business Manager w roli łupu
Badacze Socket opisują CL Suite jako narzędzie „produktywnościowe” dla Meta Business Suite, które w praktyce:
- ekfiltruje sekret TOTP (seed) i bieżące kody 2FA — co „neutralizuje” 2FA, bo mając seed można generować poprawne kody w nieskończoność (do czasu ponownego enrolmentu MFA).
- buduje CSV z widoku „People” (imiona, e-maile, role, uprawnienia, status dostępu) i wysyła je do C2, często z opcją powiadomień przez Telegram.
- enumeruje byty i zasoby Business Managera oraz informacje o konfiguracji (w tym billing/płatności w kontekście powiązań zasobów), co ułatwia selekcję „najbardziej opłacalnych” ofiar.
W ujęciu operacyjnym ważne jest też to, że rozszerzenie ma spójną, „telemetryczną” architekturę: wspólne endpointy, stały klucz/bearer, fingerprinting ofiary po IP (np. via ipify) i ciche tłumienie błędów.
Co to znaczy dla atakującego?
Nawet jeśli dodatek nie kradnie haseł bezpośrednio, to TOTP seed + pozyskane wcześniej hasło (np. z infostealera/wycieku) daje prostą ścieżkę do ATO (Account Takeover).
2. AiFrame: fałszywe „AI assistant” jako zdalny proxy o wysokich uprawnieniach
W kampanii AiFrame (LayerX) sednem jest model: rozszerzenie jako uprzywilejowany most, a „aplikacja” jako zdalny iframe. To umożliwia:
- dynamiczne dokładanie zachowań po instalacji (bez aktualizacji w sklepie), bo UI/komendy pochodzą z serwera operatora;
- zbieranie treści z aktywnej karty i ekstrakcję „readable content” (w THN opisano użycie biblioteki Readability);
- funkcje rozpoznawania mowy i eksfiltrację transkryptu do zdalnej strony;
- w części przypadków: targetowanie Gmaila poprzez odczyt treści e-maila z DOM i wysyłkę danych poza granice bezpieczeństwa Gmaila do infrastruktury zewnętrznej.
LayerX wskazuje też na zachowania „życiocykliczne”: po usunięciu jednej wersji rozszerzenia ze sklepu pojawia się niemal natychmiast kopia pod nowym ID (re-upload), co jest klasycznym przykładem omijania enforcementu.
Malwarebytes publikuje praktyczny aspekt: lista identyfikatorów i nazw (wiele z nich to warianty „ChatGPT Translate”, „Gemini AI Sidebar”, „DeepSeek Chat”, „Chat GPT for Gmail” itd.) i instrukcje, jak je znaleźć po unikalnym ID w chrome://extensions/.
3. VK Styles: przejęcia kont VK, persystencja i manipulacje ochroną
Koi Security opisuje kampanię, w której rozszerzenia podszywają się pod narzędzia stylizacji VK, a w praktyce:
- wymuszają subskrypcje grup atakującego i utrzymują „viral growth” (ofiary promują źródło dystrybucji),
- wprowadzają cykliczne resety ustawień (co 30 dni), aby utrzymać kontrolę i „odwracać” zmiany ofiary,
- zawierają elementy, które mogą wspierać obejście/wykorzystanie mechanizmów CSRF (manipulacja cookies/tokenu), co wprost uderza w warstwy bezpieczeństwa platformy.
Praktyczne konsekwencje / ryzyko
Najważniejsze scenariusze ryzyka (od „najbardziej bolesnych” w organizacji):
- ATO Meta Business / Facebook Business Manager: przejęcia kont reklamowych, nadużycia billingowe, przejęcia zasobów i kampanii. TOTP seed to materiał długowieczny — dopóki nie wymusisz ponownej konfiguracji MFA.
- Eksfiltracja danych z Gmaila: wyciek treści e-maili, kontekstu wątków, potencjalnie danych wrażliwych/handlowych; dane wychodzą poza kontrolę domeny Google.
- Profilowanie i „ciągła ewolucja” złośliwego zachowania: iframe + zdalny backend to model, w którym rozszerzenie może dziś „tylko streszczać”, a jutro kraść sesje/ciasteczka.
- Utrzymanie persystencji i mechanizmy wirusowe (VK Styles): ofiary stają się kanałem dystrybucji, a cykliczne resety utrudniają „samoleczenie” bez usunięcia rozszerzenia.
Rekomendacje operacyjne / co zrobić teraz
Dla użytkowników (quick wins)
- Wejdź w
chrome://extensions/, włącz Tryb dewelopera i sprawdź ID rozszerzeń (nazwa bywa myląca). - Usuń dodatki, które:
- żądają szerokiego dostępu do wielu domen bez jasnego powodu,
- oferują „AI w Gmailu”, „generator 2FA”, „scraper” do platform biznesowych,
- mają UI ładowane z zewnętrznej domeny / nietypowe połączenia sieciowe (często w tle).
- Jeśli podejrzewasz CL Suite/ataki na Meta:
- wymuś reset MFA (ponowny enrolment) i przejrzyj listę administratorów/„People” oraz role,
- sprawdź logowania i aktywne sesje oraz zmień hasła (w tej kolejności: e-mail → Meta → reszta).
Dla organizacji (kontrola i detekcja)
- Wprowadź allowlistę rozszerzeń (szczególnie na stacjach z dostępem do paneli reklamowych/CRM/adminów).
- Monitoruj ruch DNS/HTTP(S) pod kątem domen kampanii (np. wskazywanych w badaniach AiFrame czy CL Suite) oraz anomalii typu iframe overlay / nietypowe żądania z procesu przeglądarki.
- Traktuj rozszerzenia jako element łańcucha dostaw: audyt uprawnień, okresowe przeglądy, minimalizacja.
- W procedurach IR uwzględnij „extension-borne compromise”: weryfikacja polityk, wymuszone instalacje, i szybka izolacja profilu przeglądarki.
Różnice / porównania z innymi przypadkami
Te kampanie pokazują trzy różne „archetypy”:
- Kradzież materiału MFA (TOTP seed) → atak na mechanizm uwierzytelniania (CL Suite).
- Zdalny iframe jako „pilot” funkcji → elastyczny, trudniejszy do review, łatwy do mutacji (AiFrame).
- Hijack kont + persystencja + dystrybucja wirusowa → monetyzacja przez społeczność ofiar (VK Styles).
W praktyce organizacje powinny zakładać, że te modele będą się mieszać: np. „AI assistant” dziś kradnie DOM z Gmaila, a jutro dołoży przechwytywanie sesji i dostęp do paneli biznesowych.
Podsumowanie / kluczowe wnioski
- Rozszerzenia przeglądarki stały się dojrzałym wektorem ataku: łatwa dystrybucja, wysokie uprawnienia, trudny audyt.
- CL Suite pokazuje, że celem mogą być panele biznesowe i 2FA, a nie tylko „hasła”.
- AiFrame dowodzi, że zdalne iframy potrafią zamienić rozszerzenie w „proxy” dla atakującego i obejść część kontroli sklepu.
- VK Styles potwierdza trend „malware jako produkt”: utrzymywanie kampanii, iteracje, persystencja i wirusowa dystrybucja.
- Najbardziej opłacalna obrona to: minimalizacja i kontrola rozszerzeń, plus szybkie procedury usuwania i resetu MFA/sesji dla kont krytycznych.
Źródła / bibliografia
- The Hacker News — „Malicious Chrome Extensions Caught Stealing Business Data, Emails, and Browsing History” (13 lutego 2026). (The Hacker News)
- Socket.dev — analiza „CL Suite” i IOC/telemetria/C2 (
getauth[.]pro). (Socket) - LayerX — „AiFrame” (fałszywe asystenty AI, zdalne iframe, re-upload i IOC). (LayerX)
- Malwarebytes — poradnik identyfikacji/usuwania oraz lista ID rozszerzeń (13 lutego 2026). (Malwarebytes)
- Koi Security — „VK Styles” (500k+ ofiar, persystencja, CSRF, mechanizmy dystrybucji). (koi.ai)
