Kötü amaçlı tarayıcı uzantıları: mağazadaki sessiz kimlik bilgisi tahliyesi
Bir tarayıcı uzantısı, kullanıcının yüklediği hemen hemen her diğer yazılımdan daha fazla güven alır. Oturumun içinde kalıcı bir yer edinir, çoğu zaman ziyaret edilen her sitedeki verileri okuma ve değiştirme izniyle. Kötü amaçlı uzantı yazarlarının para kazandığı da tam olarak bu güven; belgelenmiş bir dizi kampanya, sıradan araçlar gibi görünen mağaza listelemelerinin nasıl sessizce kimlik bilgisi tahliyesine dönüştüğünü gösteriyor.
Bir uzantı neye ulaşabilir
Erişim, kullanıcının onayladığı izinlerle belirlenir. Kaspersky araştırmacıları yelpazeyi sıralıyor: web formlarından alınan çerezler, parolalar ve ödeme kartı verileri, pano içeriği, ekran görüntüleri, hatta bir tuş kaydedici gibi kaydedilen tuş vuruşları. Gerçek kampanyalar bu listeyle örtüşüyor. Tedarik zinciri güvenliği şirketi Socket, Nisan 2026'da Chrome Web Store'da 100'den fazla kötü amaçlı uzantıyı belgeledi; 54'ü, operatörün kullanıcı adına hareket etmesini sağlayan Google OAuth2 bearer token'larını toplamak için chrome.identity.getAuthToken çağrısını kullanıyordu ve bir uzantı, on beş saniyede bir Telegram Web oturum verilerini yerel depolamadan çekiyor ve kurbanın oturumunu saldırganın sağladığı verilerle üzerine yazabiliyordu. Yıllarca hayatta kalan ikinci bir listeleme: Aralık 2025'te BleepingComputer, Phantom Shuttle adlı iki Chrome Web Store uzantısını haber yaptı; Çin'deki kullanıcılar için proxy test araçları olarak 1,4-13,6 dolara satılıyor ve en az 2017'den beri aktifti. Uzantılar, 170'den fazla yüksek değerli alan adını saldırgan kontrolündeki proxy'ler üzerinden yönlendiriyor ve aradaki adam (man-in-the-middle) olarak hareket ederken form gönderimlerini yakalıyor, HTTP başlıklarından oturum çerezlerini okuyor ve API token'larını çıkarıyordu. Rapor yayınlandığında ikisi de hâlâ listeleniyordu. Mağaza listelemeleri ve onları atlayan yükleyiciler
Ölçek marjinal değil. Kaspersky'nin 2020 verileri özetine göre Google, toplam 32 milyon indirmeli 106 veri çalan Chrome uzantısını kaldırdı; finans, petrol ve gaz, sağlık ve kamu alanındaki ağlar etkilendi. Socket kampanyası biçimin hâlâ canlı olduğunu gösteriyor: uzantılar beş yayıncı kimliği ve Telegram istemcilerinden kumar oyunlarına ve video geliştiricilere uzanan kategorilerin arkasına saklanıyordu ve 45'inde, saldırgan altyapısından komut çeken gizli bir başlatma işlevi bulunuyordu. Her kötü amaçlı uzantı bir mağaza incelemesinden geçmiyor. Trend Micro'nun Kasım 2023 tarihli ParaSiteSnatcher raporu, Dropbox ve Google Cloud üzerinde barındırılan bir VBScript indiricisiyle dağıtılan modüler ve yoğun biçimde gizlenmiş bir çerçeveyi belgeledi. Kurbanı kaydettikten ve gizlenmiş komuta kontrol URL'lerini aldıktan sonra yükleyici, tarayıcı kısayollarını silip uzantıyı yükleyen yenilerini oluşturarak kalıcılığı sağlıyordu. Uzantı, hesap verileri taşıyan POST isteklerini tarayıcıdan çıkmadan yakalıyor, bakiyeleri izliyor, Brezilya bankalarındaki PIX işlemlerini manipüle ediyor ve bulut hesaplara karşı pass-the-cookie saldırılarında kullanılabilen Microsoft live.com çerezleri de dahil çerezler çalıyordu. İnceleme boşluğu: onay, yüklenen paketi kapsar, geleceği değil
Mağaza incelemesi, geliştiricinin yüklediği paketi inceler. Aynı uzantının aylar sonra ne yapacağını inceleyemez. Kaspersky, uzantıların otomatik güncellendiğine dikkat çekiyor; böylece meşru bir eklenti sonradan kötü amaçlı hale gelebiliyor: Particle uzantısı satıldı ve reklam enjekte edecek şekilde güncellendi, durdurulmadan önce 30.000'den fazla kullanıcıya ulaştı. Uzaktan barındırılan kod bunu daha da ileri götürür, çünkü gerçek mantığını çalışma zamanında bir sunucudan alan bir paket pratikte incelenemez. Manifest V3, Google'ın yapısal yanıtıdır: uzantılar yürüttükleri tüm kodu incelenen paketin içinde paketlemek zorundadır ve dışarıdan yüklenen JavaScript ya da WebAssembly olan uzaktan barındırılan kod, onu yükleyebilecek ölü kod yolları da dahil reddedilir. Gerekçe tam olarak onay sonrası sorunu: incelemeden sonra değişebilen kod incelemeyi geçersiz kılar. İstisnalar dardır: kullanıcı betiği yöneticileri, hata ayıklayıcı arayüzü ve korumalı iframe'ler. Socket'ın 45 uzantının çalışma zamanında komutları merkezi bir sunucudan aldığı tespiti, kuralın hedeflediği davranışı ve neden liste kontrolünün tek başına bunu kaçırdığını gösteriyor. Pratik savunma
Rutin gösterişsizdir. Kurulu uzantı listesini düzenli olarak denetleyin ve tanınmayan ya da kullanılmayan her şeyi kaldırın; Socket, kullanıcıların kendi listelerini bilinen kötü amaçlı girdilerle karşılaştırabilmesi için kampanyasının uzantı kimliklerini yayımladı. Toplam sayıyı düşük tutun, çünkü her yükleme sessizce yenilenen kalıcı bir yetkilendirmedir. İzinlerin genişlemesini bir uyarı işareti sayın, Kaspersky'nin örneği konum ya da tarama geçmişi isteyen bir hesap makinesi. Mağaza aramasında en üstte çıkanı değil, istikrarlı bir yayıncısı ve küçük, açıklanabilir bir izin kümesi olan uzantıları tercih edin. Bölmelere ayırın: bankacılık ve hesap yönetimi için ayrı bir tarayıcı profili, tek bir eklentinin ulaşabileceğini sınırlar; aynı mantık, kurumları yönetilen cihazlarda mağaza uzantılarını engellemeye ya da zorunlu kılmaya iter. Ödül, kimliği doğrulanmış oturumdur; mobil bankacılık truva atlarının ToxicPanda gibi peşinde koştuğu aynı hedef, yalnızca ekrandaki bir katman yerine tarayıcının içinden yakalanıyor. Bir uzantı, kimlik avı e-postasından daha az dikkat ister ve operatöre karşılaştırılabilir ödeme yapar. Belgelenmiş kampanyalar teslimat biçimiyle ayrılır, mağaza listelemesi, otomatik güncelleme, dropper ve kısayol, ama biçimi paylaşır: listeleme edin, güven kazan, bekle, sonra kullanıcının hiç görmediği bir konumdan kimlik bilgilerini tahliye et.
