Flere millioner Chrome-brugere har uforvarende installeret ondsindede browserudvidelser, der har manipuleret deres websikkerhed og stjålet følsomme data.
Mindst 16 skadelige udvidelser er blevet opdaget i Chrome Web Store, hvor de blev brugt til svindel og til at deaktivere vigtige sikkerhedsmekanismer.
Google har nu fjernet de berørte udvidelser fra butikken, men brugerne skal selv afinstallere dem manuelt for at være beskyttet, skriver cybersikkerhedsfolk fra GitLab.
Angreb gennem udviklerkonti
Ifølge GitLab stammer angrebet fra hackere, der ikke direkte har hacket browseren, men i stedet har overtaget udviklerkonti via phishing.
Det gjorde dem i stand til at distribuere ’trojaniserede’ opdateringer til Chrome-udvidelser, som intetanende brugere installerede, skriver selskabet.
"Angrebskæden er delvist blevet rekonstrueret, og det ser ud til, at trusselsaktørerne også er involveret i phishing-kits," lyder det videre fra GitLab.
Angrebene begyndte i juli 2024, hvor de skadelige udvidelser blev opdateret med ondsindet kode, der omgår Chromes sikkerhedsforanstaltninger og skjuler ondsindede scripts.
I december 2024 eskalerede angrebet, da kompromitterede udviklerkonti blev brugt til at sprede skadelige softwareopdateringer via Chrome Web Store.
Farlige funktioner i almindelige udvidelser
De skadelige udvidelser fremstod som uskyldige værktøjer såsom emoji-tastaturer, adblockere og proxy-tjenester.
Men i baggrunden skabte de forbindelse til en ekstern konfigurationsserver, der sendte oplysninger om brugernes enheder og versioner.
Samtidig blev brugernes sikkerhed kompromitteret, da udvidelserne fjernede beskyttelseslaget Content Security Policy (CSP), der er designet til at forhindre cross-site scripting (XSS)-angreb.
Dermed kunne hackere potentielt stjæle login-oplysninger og injicere skadelig kode på websider, som ofrene besøgte.
Del af en større cyberkriminel operation
GitLab-sikkerhedsfolkene mener, at angrebet ikke står alene, men er en del af en bredere cyberkriminel kampagne.
De har nemlig opdaget phishing-kits, der hoster ondsindede scripts, herunder en falsk login-side for det canadiske McGill University samt en phishing-kampagne rettet mod det schweiziske jernbaneselskab SBB CFF FFS.
Den præcise forbindelse mellem disse phishing-kits og angriberne er endnu uklar, men ifølge cyberrsikkerhedsfolkene er der stærke indikationer på, at det hele er en del af en større koordineret operation.
Efter at have modtaget oplysningerne fra GitLab fjernede Google i januar 2025 de skadelige udvidelser fra Chrome Web Store.
Men, som tidligere nævnt, så betyder det ikke, at de automatisk forsvinder fra brugernes browsere.
Alle, der har installeret en af de berørte udvidelser, skal manuelt afinstallere dem for at lukke sikkerhedshullerne.