Złośliwe rozszerzenia w Chrome i Edge kradły dane przeglądarki oraz portfeli kryptowalut

Wprowadzenie do problemu / definicja

Złośliwe rozszerzenia przeglądarkowe od lat pozostają jednym z najbardziej podstępnych wektorów ataku na użytkowników końcowych. Działają wewnątrz zaufanego środowiska przeglądarki, często otrzymują szerokie uprawnienia i mogą być aktualizowane automatycznie, bez aktywnej zgody użytkownika przy każdej zmianie. Najnowsza ujawniona kampania pokazuje, że nawet oficjalne sklepy z dodatkami do Google Chrome i Microsoft Edge mogą zostać wykorzystane do dystrybucji malware nastawionego na kradzież danych, przejęcie sesji i opróżnianie portfeli kryptowalutowych.

Szczególnie niebezpieczne w tym scenariuszu jest to, że użytkownik nie musi instalować podejrzanego pliku z nieznanego źródła. Wystarczy pobranie rozszerzenia z oficjalnego repozytorium lub pozostawienie już zainstalowanego dodatku, który w późniejszym czasie zostaje przejęty albo zaktualizowany o złośliwe komponenty.

W skrócie

Badacze bezpieczeństwa wykryli 19 złośliwych rozszerzeń dostępnych w ekosystemie Chrome Web Store i Edge Add-ons. Kampania opierała się na modularnym frameworku malware, który po instalacji nawiązywał zaszyfrowaną komunikację z serwerami dowodzenia i kontroli, a następnie pobierał dodatkowe komponenty JavaScript.

rozszerzenia przechwytywały dane przeglądania i historię aktywności,
atakujący kradli sesje, tokeny i dane uwierzytelniające,
kampania była wymierzona również w użytkowników portfeli kryptowalutowych,
część dodatków zachowywała legalną funkcjonalność do momentu późniejszej aktualizacji,
zaobserwowano phishing seed phrase oraz manipulację interfejsem stron.

Kontekst / historia

Według dostępnych ustaleń operacja mogła pozostawać aktywna co najmniej od początku 2024 roku, co wskazuje na długofalowy i metodyczny charakter działań. Nie był to więc incydent jednorazowy, lecz rozbudowana kampania rozwijana etapami i dostosowywana do konkretnych celów.

Jednym z najbardziej niepokojących elementów była metoda budowania zaufania. Część dodatków początkowo oferowała deklarowaną funkcjonalność, dzięki czemu zdobywała użytkowników i pozytywną reputację. Złośliwy kod pojawiał się dopiero później, często w ramach automatycznej aktualizacji. W praktyce oznacza to, że nawet rozszerzenie uznawane wcześniej za bezpieczne mogło stać się narzędziem ataku bez wyraźnego sygnału ostrzegawczego dla ofiary.

Takie przypadki potwierdzają szerszy problem bezpieczeństwa łańcucha dostaw w ekosystemie rozszerzeń. Ryzyko nie kończy się na etapie instalacji, lecz obejmuje cały cykl życia dodatku, w tym zmiany właściciela projektu, przejęcia kont deweloperskich oraz późniejsze aktualizacje kodu.

Analiza techniczna

Technicznie kampania bazowała na modularnym frameworku osadzonym w rozszerzeniach przeglądarkowych. Po instalacji dodatek uruchamiał zaszyfrowane połączenie WebSocket z infrastrukturą C2, skąd pobierał dalsze moduły JavaScript. Taka architektura umożliwiała elastyczne dopasowanie funkcji do konkretnego użytkownika, odwiedzanej witryny lub etapu ataku.

Jednym z kluczowych mechanizmów było manipulowanie zawartością legalnych stron internetowych. Malware potrafił obchodzić lub osłabiać mechanizmy Content Security Policy, co ułatwiało wstrzykiwanie złośliwych skryptów do zaufanych serwisów. Dzięki temu atakujący mogli dynamicznie podmieniać elementy interfejsu, takie jak przyciski połączenia portfela czy funkcje związane z wymianą aktywów cyfrowych.

W praktyce otwierało to drogę do podszywania się pod interfejsy portfeli kryptowalutowych i wyświetlania spreparowanych komunikatów, formularzy lub ekranów autoryzacji. Zaobserwowano także wyłudzanie seed phrase, przechwytywanie danych logowania, tokenów sesyjnych, informacji o kontach oraz saldach w usługach związanych z obrotem kryptowalutami.

Kampania nie ograniczała się jednak wyłącznie do rynku crypto. Moduły były zdolne do exfiltracji historii przeglądania, przechwytywania danych formularzy, a także zbierania informacji z kont społecznościowych i innych usług webowych. To oznacza, że potencjalny wpływ incydentu wykraczał daleko poza pojedyncze portfele czy giełdy.

Szczególnie groźnym aspektem była możliwość stosowania przynęt typu ClickFix. Mechanizm ten opiera się na prezentowaniu fałszywych komunikatów, na przykład o konieczności aktualizacji przeglądarki lub naprawy błędu, a następnie nakłanianiu użytkownika do uruchomienia wskazanych poleceń. W takim scenariuszu złośliwe rozszerzenie może stać się pomostem do kompromitacji całego systemu operacyjnego, a nie tylko samej przeglądarki.

Konsekwencje / ryzyko

Skutki takiego incydentu należy ocenić jako wysokie zarówno dla użytkowników indywidualnych, jak i dla organizacji. W przypadku osób prywatnych bezpośrednim ryzykiem jest utrata środków kryptowalutowych, przejęcie kont giełdowych, wyciek haseł oraz trwała kompromitacja tożsamości cyfrowej.

W środowisku firmowym złośliwe rozszerzenie może prowadzić do przejęcia sesji w usługach SaaS, skrzynkach pocztowych, systemach CRM, panelach administracyjnych, kontach reklamowych czy platformach współpracy. Jeśli pracownik korzysta z przeglądarki jako podstawowego narzędzia dostępu do usług, dodatek z szerokimi uprawnieniami staje się bardzo skutecznym punktem wejścia dla atakującego.

Dużym problemem operacyjnym jest niski poziom widoczności tego typu zagrożeń. Rozszerzenia nie muszą uruchamiać klasycznych plików wykonywalnych i często wykorzystują legalne mechanizmy przeglądarki. W rezultacie tradycyjne rozwiązania endpoint security mogą nie zapewnić pełnej detekcji, zwłaszcza jeśli organizacja nie monitoruje aktywnie listy dodatków, ich uprawnień i zmian wersji.

Należy też pamiętać, że usunięcie złośliwego rozszerzenia nie zawsze kończy incydent. Jeśli doszło już do kradzieży tokenów sesyjnych, haseł, seed phrase lub innych poświadczeń, napastnik może utrzymać dostęp do usług i wykorzystać go do dalszych działań, takich jak oszustwa finansowe, przejęcia kont czy ruch boczny w środowisku przedsiębiorstwa.

Rekomendacje

Użytkownicy, którzy mieli zainstalowane podejrzane rozszerzenia, powinni przyjąć założenie pełnej kompromitacji. Oznacza to konieczność natychmiastowego usunięcia dodatków oraz podjęcia działań ograniczających skutki incydentu.

usunąć podejrzane rozszerzenia z przeglądarek,
zmienić hasła do kluczowych usług,
wylogować wszystkie aktywne sesje,
przeprowadzić rotację tokenów, kluczy i danych dostępowych tam, gdzie to możliwe,
zweryfikować historię logowań i aktywność kont.

W przypadku portfeli kryptowalutowych zalecane jest przeniesienie aktywów do nowo utworzonego portfela, jeśli istnieje choćby podejrzenie ujawnienia seed phrase, kluczy prywatnych lub kompromitacji procesu podpisywania transakcji. Pozostawienie środków w dotychczasowym portfelu może oznaczać utrzymujące się ryzyko ich utraty.

Dla zespołów bezpieczeństwa i administratorów najważniejsze powinny być działania systemowe:

ograniczenie możliwości instalowania rozszerzeń do zatwierdzonej listy,
regularny przegląd uprawnień dodatków oraz ich pochodzenia,
monitorowanie zmian wersji i nagłych modyfikacji funkcjonalności,
analiza ruchu do nietypowych domen C2 oraz połączeń WebSocket,
wymuszanie silnego MFA odpornego na phishing,
centralne zarządzanie rozszerzeniami w środowiskach korporacyjnych,
szkolenie użytkowników w zakresie fałszywych komunikatów aktualizacyjnych i technik ClickFix.

Rozszerzenia przeglądarkowe warto traktować jak pełnoprawny element łańcucha dostaw oprogramowania. Oznacza to konieczność oceny ryzyka dostawcy, kontroli aktualizacji i szybkiej reakcji na sygnały o zmianie właściciela projektu, przejęciu kont deweloperskich lub nagłym wzroście zakresu żądanych uprawnień.

Podsumowanie

Opisana kampania pokazuje, że zagrożenia w ekosystemie rozszerzeń Chrome i Edge stają się coraz bardziej elastyczne, modułowe i wielofunkcyjne. Atakujący nie ograniczają się już do prostego adware czy pojedynczej kradzieży danych, lecz budują platformy malware zdolne do przejmowania sesji, haseł, historii aktywności i środków kryptowalutowych.

Najgroźniejszym elementem tej operacji było wykorzystanie zaufania do legalnie wyglądających dodatków oraz późniejsze dostarczanie złośliwego kodu przez aktualizacje. Z perspektywy obrony oznacza to konieczność znacznie ściślejszej kontroli rozszerzeń, monitorowania ich zachowania i traktowania przeglądarki jako krytycznego obszaru bezpieczeństwa końcowego.