260 тысяч сайтов под угрозой: как вредоносный JavaScript меняет правила игры

[hannadev]

Киберугрозы давно перестали быть проблемой только крупных корпораций. Сегодня в зоне риска оказываются десятки тысяч обычных веб-сайтов, и виноваты в этом вредоносные расширения для браузеров. Над этой проблемой задумываются не только разработчики, но и каждый, кто хоть как-то работает с интернетом.

Разработчики и владельцы сайтов должны понимать реальный масштаб этой угрозы. Когда 260 тысяч пользователей устанавливают поддельные расширения, это не просто статистика - это реальная опасность для данных, безопасности и репутации. Давайте разберёмся, что происходит и как защитить себя.

Масштаб беды: расширения-оборотни

Представьте себе ситуацию: пользователь устанавливает расширение для браузера, которое обещает помочь с чем-то полезным. Казалось бы, обычное дело - в Chrome Web Store тысячи расширений. Но на этот раз это ловушка. Исследователи обнаружили скоординированную кампанию, в рамках которой было создано 30 расширений с разными названиями и идентификаторами. Все они выглядели как отдельные продукты, но внутри имели одну и ту же кодовую базу, идентичные разрешения и общую серверную инфраструктуру.

Самое коварное в этом подходе - то, что расширение ведёт себя не как обычный вредонос. Его поведение полностью контролируется удалённым сервером, который подгружает интерфейс и сценарии в реальном времени. Это означает, что одно расширение может использоваться для разных целей в зависимости от команды с сервера. Такая гибкость делает его почти невозможным для выявления стандартными методами проверки в Chrome Web Store.

Как именно работает эта атака:

• Расширение ждёт команд с удалённого сервера через удалённый интерфейс
• По сигналу оно обращается к текущей вкладке браузера пользователя
• Запускается служебный скрипт, который извлекает весь текст страницы
• Данные обрабатываются специальной библиотекой для структурирования
• Структурированная информация отправляется обратно на сервер злоумышленников
• В итоге третья сторона получает полный доступ к содержимому любой открытой страницы, включая закрытые панели аккаунтов

Как они обходят защиту

Одна из уловок, которую использовали атакующие, показывает, насколько хорошо они понимают экосистему Chrome. Когда расширение с идентификатором fppbiomdkfbhgjjdmojlogeceejinadg удалили из каталога в феврале 2025 года, меньше чем через две недели появилась его полная копия под новым именем и идентификатором с датой публикации 20 февраля. Код, разрешения, схема работы - всё совпадало.

Этот паттерн показывает одну важную вещь: разработчики вредоноса хорошо знают процесс модерации. Они понимают, что даже если расширение блокируют, его легко переиндексировать под новым именем и получить обратно в магазин. Система проверок, похоже, не успевает за скоростью переделки и переиндексации вредоноса.

Методы, которые используются для обхода защиты:

• Смена идентификаторов расширений и названий продуктов
• Использование одной кодовой базы для множества расширений (затрудняет выявление по сигнатурам)
• Подгрузка функциональности с внешних серверов (код не видно при проверке в магазине)
• Быстрая переиндексация после блокировки (в течение двух недель)
• Имитация популярных ИИ-помощников (повышает доверие пользователей)

Что происходит с вашими данными

Когда расширение имеет доступ к содержимому страницы, оно видит практически всё: текст писем в почте, содержание паролей в менеджерах, данные в личных кабинетах. Серверная инфраструктура работает как центр управления - она решает, что именно нужно собрать, когда это сделать и куда отправить.

Злоумышленники используют метод, называемый структурированием контента. Библиотека Readability (от Mozilla) выделяет из страницы заголовки, основной материал, отрывки текста и метаданные. Это позволяет не просто перехватить все подряд, а получить организованные данные, которые потом легко анализировать и использовать.

Что именно может быть скомпрометировано:

Тип данных	Риск	Последствия
Логины и пароли	Очень высокий	Полный доступ к аккаунтам
Финансовые данные	Очень высокий	Кража денег, мошенничество
Личная информация	Высокий	Кража личности, шпионаж
История просмотров	Средний	Сбор данных о поведении
Содержание сообщений	Высокий	Промышленный шпионаж, утечки
Метаданные сайтов	Средний	Анализ интересов и активности

Почему это касается разработчиков

Влиянию подвергаются не только конечные пользователи. Разработчики и администраторы сайтов тоже в зоне риска. Если расширение установлено на компьютер разработчика, оно может перехватить данные, передаваемые между его браузером и серверами. Это может включать API-ключи, токены доступа, данные для подключения к базам данных или исходный код в приватных репозиториях.

Для веб-разработчиков это создаёт дополнительные угрозы. Расширение может получить доступ к административным панелям, где вы управляете сайтом. Оно видит все запросы, которые ваш браузер отправляет на сервер, включая авторизационные токены. Если вы работаете с несколькими проектами, атакующие получат информацию о структуре, уязвимостях и особенностях всех ваших сайтов.

Критические точки уязвимости для разработчиков:

• Доступ к административным панелям и CMS
• Перехват API-запросов и ключей доступа
• Чтение исходного кода в браузере разработчика
• Получение данных о подключении к базам данных
• Перехват Git-токенов и ключей для развёртывания

Что делать: практическая защита

Первое и самое важное - будьте избирательны при установке расширений. Не устанавливайте расширение только потому, что оно выглядит красиво или обещает чудо. Проверьте рейтинги, количество установок, дату последнего обновления и отзывы. Если расширение используют 260 тысяч человек, но у него нет хороших отзывов - это красный флаг.

Для разработчиков и администраторов важна изоляция рабочей среды. Используйте отдельный браузер или профиль только для работы с админ-панелями и критичными данными. Отключите все ненужные расширения в рабочем профиле. Ещё лучше - используйте виртуальную машину для административных задач.

Практические меры защиты:

• Минимизируйте расширения: удалите всё, что не используете активно
• Проверяйте источник: устанавливайте только с официального Chrome Web Store, и то осторожно
• Обновляйте браузер: Chrome получает обновления безопасности регулярно
• Используйте менеджер паролей: лучше встроенный в браузер, чем расширение от третьей стороны
• Отключайте JavaScript на неизвестных сайтах: в настройках браузера
• Регулярно проверяйте историю расширений: посмотрите, какие новые расширения были установлены
• Используйте VPN на рабочей машине: хотя бы при работе в общественных сетях

Для тех, кто работает с критичными системами, рекомендуется ещё более строгий подход:

• Запрещайте любые расширения на рабочих машинах по политике компании
• Используйте браузеры в режиме инкогнито для административных задач
• Включите двухфакторную аутентификацию везде, где возможно
• Регулярно меняйте пароли доступа к критичным системам
• Логируйте все действия на административных панелях

Перспектива и что это значит для будущего

Эта кампания с 260 тысячами жертв - не исключение, а тренд. Киберпреступники всё лучше приспосабливаются к способам защиты, которые предлагают разработчики браузеров. Они научились быстро переиндексировать расширения, маскировать код, имитировать популярные продукты и использовать подгрузку функциональности с удалённых серверов. На фоне растущего интереса к генеративному ИИ ожидается появление новых кампаний по той же схеме - расширения, которые обещают помощь ИИ-помощника, но на самом деле собирают данные.

Индустрия должна ответить на эту угрозу системно. Это касается как разработчиков браузеров (они должны улучшить проверки в магазинах расширений), так и каждого пользователя (нужна культура безопасности). Расширения, у которых ключевые функции подгружаются с внешних серверов, требуют отдельного внимания и более тщательной проверки. Возможно, в будущем появятся инструменты, которые будут автоматически отслеживать, какие данные отправляет расширение и куда именно.

А пока что главное - помните: удобство расширения не стоит того, чтобы потерять все свои данные. Лучше потратить чуть больше времени на ручную работу, чем дать доступ к своим аккаунтам неизвестному коду.