Вредоносные браузерные расширения: тихий слив учетных данных из магазина
Браузерное расширение получает больше доверия, чем почти любое другое устанавливаемое программное обеспечение. Оно занимает постоянное место внутри сессии, часто с разрешением читать и менять данные на каждом посещаемом сайте. Именно это доверие монетизируют авторы вредоносных расширений, и серия задокументированных кампаний показывает, как листинги в магазинах, выглядящие как обычные инструменты, тихо работают сливами учетных данных.
Что доступно расширению
Размах определяется разрешениями, которые одобряет пользователь. Исследователи Kaspersky перечисляют набор: cookie, пароли и данные платежных карт из веб-форм, содержимое буфера обмена, снимки экрана, даже нажатия клавиш, как у кейлоггера. Реальные кампании совпадают с этим списком. Socket, компания по безопасности цепочки поставок, в апреле 2026 года задокументировала более 100 вредоносных расширений в Chrome Web Store; 54 из них использовали вызов chrome.identity.getAuthToken для сбора bearer-токенов OAuth2 Google, позволяющих оператору действовать от имени пользователя, а одно расширение каждые пятнадцать секунд вытягивало данные сессии Telegram Web из локального хранилища и могло перезаписать сессию жертвы данными атакующего. Второй листинг, проживший годы: в декабре 2025 года BleepingComputer сообщил о двух расширениях Chrome Web Store под названием Phantom Shuttle, продававшихся за 1,4–13,6 доллара как инструменты проверки прокси для пользователей из Китая и активных как минимум с 2017 года. Расширения перенаправляли более 170 ценных доменов через контролируемые атакующим прокси и, действуя как человек посередине, перехватывали отправку форм, считывали сессионные cookie из HTTP-заголовков и извлекали API-токены. Оба оставались в магазине на момент публикации отчета. Листинги в магазинах и загрузчики, которые их обходят
Масштаб не маргинальный. По сводке Kaspersky данных за 2020 год, Google удалила 106 крадущих данные расширений Chrome с суммарно 32 миллионами загрузок; затронуты сети в финансах, нефти и газе, здравоохранении и госсекторе. Кампания Socket показывает, что формат до сих пор жив: расширения скрывались за пятью издательскими личностями и категориями от клиентов Telegram до азартных игр и видеоулучшателей, а 45 из них содержали скрытую стартовую функцию, получавшую команды с инфраструктуры атакующего. Далеко не каждое вредоносное расширение вообще проходит проверку магазина. Отчет Trend Micro за ноябрь 2023 года о ParaSiteSnatcher документирует модульный, тщательно обфусцированный фреймворк, доставляемый VBScript-загрузчиком, размещенным на Dropbox и Google Cloud. Зарегистрировав жертву и получив обфусцированные URL командного сервера, установщик удалял ярлыки браузера и создавал новые, запускающие расширение, закрепляя персистентность. Расширение перехватывало POST-запросы с данными учетных записей до выхода из браузера, следило за балансами, манипулировало транзакциями PIX в бразильских банках и похищало cookie, включая cookie Microsoft live.com, пригодные для pass-the-cookie атак на облачные аккаунты. Пробел в проверке: одобрение охватывает загрузку, а не будущее
Проверка магазина изучает пакет, который разработчик загружает. Она не может изучить, что то же расширение будет делать месяцы спустя. Kaspersky отмечает, что расширения автообновляются, поэтому легитимное дополнение может стать вредоносным задним числом: расширение Particle было продано и обновлено для впрыска рекламы, достигнув более 30 000 пользователей, прежде чем его остановили. Удаленно размещенный код идет дальше: пакет, который получает свою реальную логику с сервера во время выполнения, на практике непроверяем. Manifest V3 — структурный ответ Google: расширения должны включать весь исполняемый код в проверяемый пакет, а удаленно размещенный код, JavaScript или WebAssembly, загружаемый извне, отклоняется, включая мертвые ветки кода, которые могли бы его загрузить. Обоснование — именно проблема после одобрения: код, который может измениться после проверки, обесценивает проверку. Исключения узки: менеджеры пользовательских скриптов, интерфейс отладчика и изолированные iframe. Вывод Socket о том, что 45 расширений получали команды во время выполнения с центрального сервера, показывает поведение, против которого направлено правило, и почему проверки листинга сами по себе его пропускают. Практическая защита
Рутина неброская. Периодически проверяйте список установленных расширений и удаляйте все нераспознанное и неиспользуемое; Socket опубликовала идентификаторы расширений своей кампании, чтобы пользователи могли сверить свой список с известными вредоносными записями. Держите общее количество низким, ведь каждая установка — это постоянное разрешение, которое незаметно продлевается. Считайте разрастание разрешений тревожным сигналом — пример Kaspersky: калькулятор, запрашивающий геолокацию или историю просмотров. Предпочитайте расширения со стабильным издателем и небольшим объяснимым набором разрешений тому, что стоит первым в поиске магазина. Разделяйте: отдельный профиль браузера для банковских операций и администрирования аккаунтов ограничивает то, чего может достичь одно дополнение, и та же логика заставляет предприятия блокировать или принудительно устанавливать расширения магазина на управляемых устройствах. Приз — аутентифицированная сессия, та же цель, что и у мобильных банковских троянов вроде ToxicPanda, только атака идет изнутри браузера, а не через оверлей на экране. Расширение требует меньше внимания, чем фишинговое письмо, а оператору платит сопоставимо. Задокументированные кампании различаются доставкой — листинг в магазине, автообновление, дроппер и ярлык — но форму имеют одну: получить листинг, завоевать доверие, ждать, а затем сливать учетные данные с позиции, которую пользователь никогда не видит.
