Złośliwe rozszerzenia przeglądarki: ciche wypłukiwanie danych logowania w sklepie
Rozszerzenie przeglądarki otrzymuje więcej zaufania niż niemal każde inne oprogramowanie instalowane przez użytkownika. Zyskuje stałe miejsce wewnątrz sesji, często z uprawnieniem do odczytywania i zmieniania danych na każdej odwiedzanej stronie. Właśnie to zaufanie monetyzują autorzy złośliwych rozszerzeń, a seria udokumentowanych kampanii pokazuje, jak oferty sklepowe wyglądające na zwykłe narzędzia po cichu działają jako wypłukiwanie danych logowania.
Co rozszerzenie może osiągnąć
Zasięg wyznaczają uprawnienia, które zatwierdza użytkownik. Badacze Kaspersky wyliczają zakres: pliki cookie, hasła i dane kart płatniczych zabierane z formularzy internetowych, zawartość schowka, zrzuty ekranu, nawet klawisze rejestrowane jak keylogger. Prawdziwe kampanie pasują do tej listy. Socket, firma zajmująca się bezpieczeństwem łańcucha dostaw, udokumentowała ponad 100 złośliwych rozszerzeń w Chrome Web Store w kwietniu 2026; 54 z nich używało wywołania chrome.identity.getAuthToken, by zbierać bearer tokeny OAuth2 Google, pozwalające operatorowi działać jako użytkownik, a jedno rozszerzenie co piętnaście sekund wyciągało dane sesji Telegram Web z magazynu lokalnego i mogło nadpisać sesję ofiary danymi dostarczonymi przez atakującego. Druga oferta, która przetrwała lata: w grudniu 2025 BleepingComputer doniósł o dwóch rozszerzeniach Chrome Web Store o nazwie Phantom Shuttle, sprzedawanych za 1,4–13,6 dolara jako narzędzia testowania proxy dla użytkowników w Chinach i aktywnych co najmniej od 2017 roku. Rozszerzenia przekierowywały ponad 170 wartościowych domen przez proxy kontrolowane przez atakującego i, działając jako człowiek pośrodku, przechwytywały wysyłki formularzy, odczytywały pliki cookie sesji z nagłówków HTTP i wyciągały tokeny API. Oba wciąż były na liście, gdy opublikowano raport. Oferty sklepowe i loadery, które je omijają
Skala nie jest marginalna. Według podsumowania danych za 2020 rok przygotowanego przez Kaspersky Google usunęło 106 kradnących dane rozszerzeń Chrome z łączną liczbą 32 milionów pobrań, trafiając w sieci w finansach, przemyśle naftowym i gazowym, ochronie zdrowia oraz administracji. Kampania Socket pokazuje, że format wciąż żyje: rozszerzenia kryły się za pięcioma tożsamościami wydawcy i kategoriami od klientów Telegrama po gry hazardowe i usprawniacze wideo, a 45 z nich zawierało ukrytą funkcję startową, która pobierała polecenia z infrastruktury atakującego. Nie każde złośliwe rozszerzenie w ogóle przechodzi przez weryfikację sklepu. Raport Trend Micro z listopada 2023 o ParaSiteSnatcher udokumentował modularną, mocno zaciemnioną strukturę, dostarczaną przez pobierający VBScript, hostowany na Dropbox i Google Cloud. Po zarejestrowaniu ofiary i pobraniu zaciemnionych adresów URL serwera dowodzenia instalator usuwał skróty przeglądarki i tworzył nowe, które ładują rozszerzenie, utrwalając trwałość. Rozszerzenie przechwytywało żądania POST z danymi konta, zanim opuszczały przeglądarkę, monitorowało salda, manipulowało transakcjami PIX w brazylijskich bankach i kradło pliki cookie, w tym cookie Microsoft live.com przydatne do ataków pass-the-cookie na konta chmurowe. Luka w weryfikacji: zatwierdzenie obejmuje przesłany pakiet, nie przyszłość
Weryfikacja sklepu bada pakiet przesłany przez dewelopera. Nie może zbadać, co to samo rozszerzenie będzie robić miesiące później. Kaspersky zauważa, że rozszerzenia aktualizują się automatycznie, więc legalny dodatek może stać się złośliwy po fakcie: rozszerzenie Particle zostało sprzedane i zaktualizowane tak, by wstrzykiwać reklamy, docierając do ponad 30 tys. użytkowników, zanim je zatrzymano. Kod hostowany zdalnie idzie dalej, bo pakiet, który pobiera swoją prawdziwą logikę z serwera w trakcie działania, jest w praktyce niemożliwy do zweryfikowania. Manifest V3 to strukturalna odpowiedź Google: rozszerzenia muszą zawierać cały wykonywany kod w zweryfikowanym pakiecie, a kod hostowany zdalnie, JavaScript lub WebAssembly ładowany z zewnątrz, jest odrzucany, łącznie z martwymi ścieżkami kodu, które mogłyby go załadować. Uzasadnienie dotyczy dokładnie problemu po zatwierdzeniu: kod, który może się zmienić po weryfikacji, unieważnia weryfikację. Wyjątki są wąskie: menedżery skryptów użytkownika, interfejs debugera i odizolowane iframe. Odkrycie Socket, że 45 rozszerzeń pobierało polecenia w trakcie działania z centralnego serwera, pokazuje zachowanie, przeciw któremu skierowana jest reguła, i dlaczego sama kontrola oferty je przeoczy. Praktyczna obrona
Rutyna jest niepozorna. Okresowo przeglądaj listę zainstalowanych rozszerzeń i usuwaj wszystko nierozpoznane i nieużywane; Socket opublikowała identyfikatory rozszerzeń swojej kampanii, by użytkownicy mogli porównać własną listę ze znanymi złośliwymi pozycjami. Utrzymuj łączną liczbę niską, bo każda instalacja to stałe uprawnienie, które po cichu się odnawia. Traktuj rozrastanie uprawnień jako sygnał ostrzegawczy, przykład Kaspersky to kalkulator proszący o geolokalizację lub historię przeglądania. Przedkładaj rozszerzenia o stabilnym wydawcy i małym, dającym się wyjaśnić zestawie uprawnień nad to, co jest pierwsze w wyszukiwarce sklepu. Kompartamentalizuj: osobny profil przeglądarki do bankowości i administracji kont ogranicza to, co pojedynczy dodatek może osiągnąć, a ta sama logika skłania przedsiębiorstwa do blokowania lub wymuszania rozszerzeń sklepu na zarządzanych urządzeniach. Nagrodą jest uwierzytelniona sesja, ten sam cel, o który walczą mobilne trojany bankowe jak ToxicPanda, tylko atakowany od środka przeglądarki, a nie przez nakładkę na ekranie. Rozszerzenie wymaga mniej uwagi niż wiadomość phishingowa, a operatorowi płaci porównywalnie. Udokumentowane kampanie różnią się dostarczeniem, oferta sklepu, automatyczna aktualizacja, dropper i skrót, ale mają wspólny kształt: zdobyć ofertę, zyskać zaufanie, poczekać, a potem wypłukiwać dane logowania z pozycji, której użytkownik nigdy nie widzi.
