Злоумышленники перехватывают результаты поиска, даже не используя код.
https://www.securitylab.ru/upload/ib...ar1u6jnny2.jpg
Исследователи из Guardio Labs обнаружили новую вредоносную кампанию , распространяющую расширения Google Chrome, которые перехватывают результаты поиска и вставляют партнерские ссылки на веб-страницы.
Поскольку все эти расширения предлагают параметры настройки цвета и попадают на компьютер жертвы без вредоносного кода, аналитики назвали кампанию «Dormant Colors». Согласно отчету Guardio, к середине октября 2022 года в магазинах Chrome и Edge было доступно 30 вариантов расширений для браузера, которые были установлены более 1 млн. раз.
https://www.securitylab.ru/upload/im...t-img(643).png
30 вредоносных расширений, которые ранее были доступны в магазине
Заражение начинается с рекламы или перенаправлений при посещении веб-страниц, предлагающих просмотреть видео или загрузить программу. При попытке загрузить программу или просмотреть видео пользователь перенаправляется на другой сайт, где будет указано, что для продолжения необходимо установить расширение (видео).
https://www.securitylab.ru/upload/im...t-img(644).png
Предложение загрузки расширения
При первой установке безобидное на вид расширение перенаправляет на различные страницы, загружающие вредоносные скрипты, которые дают расширению команды к перехвату поиска и вставке партнерских ссылок на определённые сайты.
https://www.securitylab.ru/upload/im...t-img(645).png
Цепочка атак вредоносных расширений
При перехвате поиска расширение перенаправляет поисковые запросы и возвращает результаты с сайтов, связанных с разработчиком расширения, чтобы оператор получал доход от показов рекламы и продажи данных поиска.
Dormant Colors также перехватывает просмотр с 10 000 сайтов, автоматически перенаправляя пользователя на страницу с партнерскими ссылками, добавленными к URL-адресу. После этого разработчик получает процент с любой сделанной на сайте покупки.
По словам исследователей, операторы Dormant Colors также могут перенаправить жертв на фишинговые страницы, чтобы украсть учетные данные для Microsoft 365, Google Workspace, онлайн-банка или соцсетей.
Все вредоносные расширения и сайты были удалены, но исследователи предупреждают, что кампания постоянно дополняется новыми надстройками и доменами.