Шкідливі розширення браузера: тихий злив облікових даних у магазині
Браузерне розширення отримує більше довіри, ніж майже будь-яке інше встановлюване програмне забезпечення. Воно має постійне місце всередині сесії, часто з дозволом читати й змінювати дані на кожному відвіданому сайті. Саме цю довіру монетизують автори шкідливих розширень, і серія задокументованих кампаній показує, як сторінки розширень у магазинах, що виглядають як звичайні інструменти, тихо працюють зливами облікових даних.
Що доступне розширенню
Розмах визначається дозволами, які схвалює користувач. Дослідники Kaspersky перелічують набір: cookie, паролі та дані платіжних карт із веб-форм, вміст буфера обміну, знімки екрана, навіть натискання клавіш, як у кейлогера. Реальні кампанії збігаються з цим переліком. Socket, компанія з безпеки ланцюга постачання, у квітні 2026 задокументувала понад 100 шкідливих розширень у Chrome Web Store; 54 з них використовували виклик chrome.identity.getAuthToken для збору bearer-токенів OAuth2 Google, що дозволяють оператору діяти від імені користувача, а одне розширення кожні п'ятнадцять секунд витягувало дані сесії Telegram Web із локального сховища і могло перезаписати сесію жертви даними зловмисника. Другий лістинг, що прожив роки: у грудні 2025 BleepingComputer повідомив про два розширення Chrome Web Store під назвою Phantom Shuttle, які продавалися за 1,4–13,6 долара як інструменти тестування проксі для користувачів у Китаї та були активні щонайменше з 2017 року. Розширення перенаправляли понад 170 цінних доменів через контрольовані зловмисником проксі й, діючи як посередник, перехоплювали надсилання форм, зчитували сесійні cookie з HTTP-заголовків і витягували API-токени. Обидва залишалися в магазині на момент публікації звіту. Лістинги магазинів і завантажувачі, які їх оминають
Масштаб не маргінальний. За зведенням Kaspersky даних за 2020 рік, Google вилучила 106 розширень Chrome, що викрадали дані, із сумарно 32 мільйонами завантажень; зачеплені мережі у фінансах, нафтогазі, охороні здоров'я та держсекторі. Кампанія Socket показує, що формат досі живий: розширення ховалися за п'ятьма видавничими особами та категоріями від клієнтів Telegram до азартних ігор і відеопокращувачів, а 45 із них містили приховану стартову функцію, що отримувала команди з інфраструктури зловмисника. Аж ніяк не кожне шкідливе розширення взагалі проходить перевірку магазину. Звіт Trend Micro за листопад 2023 щодо ParaSiteSnatcher документує модульний, ретельно обфускований фреймворк, який доставляв VBScript-завантажувач, розміщений на Dropbox і Google Cloud. Зареєструвавши жертву й отримавши обфусковані URL командного сервера, інсталятор видаляв ярлики браузера і створював нові, що запускають розширення, закріплюючи персистентність. Розширення перехоплювало POST-запити з даними рахунків до виходу з браузера, стежило за балансами, маніпулювало транзакціями PIX у бразильських банках і викрадало cookie, включно з cookie Microsoft live.com, придатними для pass-the-cookie атак на хмарні акаунти. Прогалина в перевірці: схвалення охоплює завантаження, а не майбутнє
Перевірка магазину вивчає пакет, який розробник завантажує. Вона не може вивчити, що те саме розширення робитиме за місяці. Kaspersky зауважує, що розширення автооновлюються, тож легітимне доповнення може стати шкідливим заднім числом: розширення Particle продали й оновили для впорскування реклами, воно сягнуло понад 30 000 користувачів, перш ніж його зупинили. Віддалено розміщений код іде далі: пакет, який отримує свою справжню логіку з сервера під час виконання, на практиці неперевірюваний. Manifest V3 — структурна відповідь Google: розширення мають вміщувати весь виконуваний код у перевірений пакет, а віддалено розміщений код, JavaScript або WebAssembly, що завантажується ззовні, відхиляється, включно з мертвими гілками коду, які могли б його завантажити. Обґрунтування — саме проблема після схвалення: код, що може змінитися після перевірки, знецінює перевірку. Винятки вузькі: менеджери користувацьких скриптів, інтерфейс дебагера та ізольовані iframe. Висновок Socket про те, що 45 розширень отримували команди під час виконання з центрального сервера, показує поведінку, проти якої спрямоване правило, і чому перевірка лістинга сама собою її пропускає. Практичний захист
Рутина непоказна. Періодично перевіряйте список установлених розширень і вилучайте все нерозпізнане й невикористовуване; Socket опублікувала ідентифікатори розширень своєї кампанії, щоб користувачі могли звірити свій список із відомими шкідливими записами. Тримайте загальну кількість низькою, адже кожне встановлення — це постійний дозвіл, який непомітно поновлюється. Вважайте розростання дозволів тривожним сигналом — приклад Kaspersky: калькулятор, що запитує геолокацію чи історію переглядів. Надавайте перевагу розширенням зі стабільним видавцем і невеликим пояснюваним набором дозволів, а не тому, що стоїть першим у пошуку магазину. Розділяйте: окремий профіль браузера для банківських операцій та адміністрування акаунтів обмежує те, чого може досягти одне доповнення, і та сама логіка спонукає підприємства блокувати або примусово встановлювати розширення магазину на керованих пристроях. Премія — автентифікована сесія, та сама ціль, що й у мобільних банківських троянів на кшталт ToxicPanda, лише атака йде зсередини браузера, а не через оверлей на екрані. Розширення вимагає менше уваги, ніж фішинговий лист, а оператору платить порівнянно. Задокументовані кампанії різняться доставкою — лістинг у магазині, автооновлення, дропер і ярлик — але мають спільну форму: отримати лістинг, завоювати довіру, зачекати, а потім зливати облікові дані з позиції, яку користувач ніколи не бачить.
