16 tiện ích mở rộng của Chrome bị hack, khiến hơn 600.000 người dùng bị đánh cắp dữ liệu
Một chiến dịch tấn công mới đã nhắm vào các tiện ích mở rộng đã biết của trình duyệt Chrome, khiến ít nhất 16 tiện ích mở rộng bị xâm phạm và khiến hơn 600.000 người dùng có nguy cơ bị lộ dữ liệu và đánh cắp thông tin đăng nhập.
Cuộc tấn công nhắm vào các nhà xuất bản tiện ích mở rộng trình duyệt trên Chrome Web Store thông qua chiến dịch lừa đảo và sử dụng quyền truy cập của họ để chèn mã độc vào các tiện ích mở rộng hợp pháp nhằm đánh cắp cookie và mã thông báo truy cập của người dùng.
Công ty đầu tiên trở thành nạn nhân của chiến dịch này là công ty an ninh mạng Cyberhaven, một trong những nhân viên của công ty đã trở thành mục tiêu của cuộc tấn công lừa đảo vào ngày 24 tháng 12, cho phép kẻ tấn công phát tán phiên bản độc hại của tiện ích mở rộng.
Vào ngày 27 tháng 12, Cyberhaven tiết lộ rằng một tác nhân đe dọa đã xâm nhập tiện ích mở rộng trình duyệt của họ và chèn mã độc để giao tiếp với máy chủ chỉ huy và kiểm soát (C&C) bên ngoài nằm trên tên miền cyberhavenext\[.\]pro, tải xuống các tệp cấu hình bổ sung và đánh cắp dữ liệu người dùng.
Email lừa đảo này được cho là đến từ Bộ phận hỗ trợ nhà phát triển của Cửa hàng Google Chrome trực tuyến, nhằm tạo ra cảm giác cấp bách giả tạo bằng cách tuyên bố rằng tiện ích mở rộng của họ sắp bị xóa khỏi cửa hàng tiện ích mở rộng vì vi phạm Chính sách chương trình dành cho nhà phát triển .
Nó cũng yêu cầu người nhận nhấp vào liên kết để chấp nhận các chính sách, sau đó họ được chuyển hướng đến trang cấp quyền cho ứng dụng OAuth độc hại có tên "Phần mở rộng chính sách bảo mật".
"Kẻ tấn công đã có được các quyền cần thiết thông qua ứng dụng độc hại ('Phần mở rộng Chính sách bảo mật') và tải tiện ích mở rộng Chrome độc hại lên Chrome Web Store", Cyberhaven cho biết . "Sau quy trình đánh giá Bảo mật Chrome Web Store thông thường, tiện ích mở rộng độc hại đã được chấp thuận để xuất bản".
"Tiện ích mở rộng trình duyệt là phần mềm bảo mật web", Or Eshed, CEO của LayerX Security , chuyên về bảo mật tiện ích mở rộng trình duyệt, cho biết. "Mặc dù chúng ta có xu hướng nghĩ rằng tiện ích mở rộng trình duyệt là vô hại, nhưng trên thực tế, chúng thường được cấp quyền rộng rãi cho thông tin người dùng nhạy cảm như cookie, mã thông báo truy cập, thông tin nhận dạng, v.v.
Eshed cho biết: "Nhiều tổ chức thậm chí còn không biết họ đã cài đặt những tiện ích mở rộng nào trên các thiết bị đầu cuối của mình và không nhận thức được mức độ nguy hiểm của những tiện ích này".
Jamie Blasco, Giám đốc công nghệ của công ty bảo mật SaaS Nudge Security, đã xác định thêm các tên miền giải quyết cùng một địa chỉ IP của máy chủ C&C được sử dụng trong vụ xâm phạm Cyberhaven.
Theo nền tảng bảo mật tiện ích mở rộng của trình duyệt Secure Annex , cuộc điều tra sâu hơn đã phát hiện ra [nhiều tiện ích mở rộng hơn \[Google Trang tính\] bị nghi ngờ đã bị xâm phạm:](https://docs.google.com/spreadsheets/d/15xOLbYgz5DQnCWYE6a_LXGcqYC_bNPPzdBqdLofz6-E/edit?gid=0#gid=0)[](https://secureannex.com/blog/cyberhaven-extension-compromise/)
- AI Assistant - ChatGPT and Gemini for Chrome
- Bard AI Chat Extension
- GPT 4 Summary with OpenAI
- Search Copilot AI Assistant for Chrome
- TinaMInd AI Assistant
- Wayin AI
- VPNCity
- Internxt VPN
- Vindoz Flex Video Recorder
- VidHelper Video Downloader
- Bookmark Favicon Changer
- Castorus
- Uvoice
- Reader Mode
- Parrot Talks
- Primus
- Tackker - online keylogger tool
- AI Shop Buddy
- Sort by Oldest
- Rewards Search Automator
- ChatGPT Assistant - Smart Search
- Keyboard History Recorder
- Email Hunter
- Visual Effects for Google Meet
- Earny - Up to 20% Cash Back
Những tiện ích mở rộng bị xâm phạm bổ sung này cho thấy Cyberhaven không phải là mục tiêu đơn lẻ mà là một phần của chiến dịch tấn công trên diện rộng nhắm vào các tiện ích mở rộng trình duyệt hợp pháp.
Nhà sáng lập Secure Annex, John Tuckner, nói với The Hacker News rằng có khả năng chiến dịch này đã diễn ra từ ngày 5 tháng 4 năm 2023 và thậm chí có thể còn diễn ra trước đó nữa dựa trên ngày đăng ký của các tên miền được sử dụng: nagofsg\[.\]com được đăng ký vào tháng 8 năm 2022 và sclpfybn\[.\]com được đăng ký vào tháng 7 năm 2021.
"Tôi đã liên kết cùng một mã có trong các cuộc tấn công Cyberhaven với mã liên quan (giả sử là Code1) trong một tiện ích mở rộng có tên là 'Reader Mode'", Tuckner cho biết. "Mã trong 'Reader Mode' chứa mã tấn công Cyberhaven (Code1) và một chỉ báo bổ sung về sự xâm phạm "sclpfybn\[.\]com" với mã bổ sung của riêng nó (Code2)."
"Việc xoay quanh miền đó đã dẫn tôi đến bảy tiện ích mở rộng mới. Một trong những tiện ích mở rộng liên quan có tên là "Rewards Search Automator" có (Code2) tự ngụy trang thành chức năng 'duyệt an toàn' nhưng lại đánh cắp dữ liệu."
"'Rewards Search Automator' cũng chứa chức năng 'thương mại điện tử' được che giấu (Code3) với tên miền mới 'tnagofsg\[.\]com' có chức năng cực kỳ giống với 'safe-browsing'. Khi tìm kiếm sâu hơn trên tên miền này, tôi tìm thấy 'Earny - Hoàn tiền lên đến 20%' vẫn còn mã 'thương mại điện tử' (Code3) và được cập nhật lần cuối vào ngày 5 tháng 4 năm 2023."
Đối với tiện ích bổ sung Cyberhaven bị xâm phạm, phân tích cho thấy mã độc nhắm mục tiêu vào dữ liệu nhận dạng và mã thông báo truy cập của tài khoản Facebook, chủ yếu với mục đích nhắm vào người dùng Facebook Ads:
Dữ liệu người dùng được thu thập bởi tiện ích mở rộng trình duyệt Cyberhaven bị xâm phạm (nguồn: Cyberhaven)
Cyberhaven cho biết phiên bản độc hại của tiện ích mở rộng trình duyệt đã bị xóa khoảng 24 giờ sau khi ra mắt. Một số tiện ích mở rộng bị phát hiện khác cũng đã được cập nhật hoặc xóa khỏi Chrome Web Store.
Tuy nhiên, việc tiện ích mở rộng đã bị xóa khỏi cửa hàng Chrome không có nghĩa là sự việc đã kết thúc, Or Eshed cho biết. "Miễn là phiên bản tiện ích mở rộng bị xâm phạm vẫn còn trên điểm cuối, tin tặc vẫn có thể truy cập và đánh cắp dữ liệu", ông nói.
Các nhà nghiên cứu bảo mật đang tiếp tục tìm kiếm thêm các tiện ích mở rộng bị lộ, nhưng mức độ tinh vi và phạm vi của chiến dịch tấn công này đã khiến nhiều tổ chức phải tăng cường bảo mật tiện ích mở rộng trên trình duyệt của mình.
Hiện tại vẫn chưa rõ ai là người đứng sau chiến dịch này và liệu những thỏa hiệp này có liên quan hay không. Chúng tôi đã liên hệ với Google để xin thêm bình luận và chúng tôi sẽ cập nhật câu chuyện nếu nhận được phản hồi.