Поделиться
Хакеры крадут криптовалюту через расширения браузера Chrome. Россияне тоже в опасности
Аналитики из компании Socket обнаружили 18 вредоносных расширений для Google Chrome и одно для Microsoft Edge. Потенциальная аудитория двух версий достигала 80 тыс. человек. Все браузерные расширения загружали модульный фреймворк, нацеленный на кражу криптовалюты, учетных данных и истории браузера жертв, а также показывали пользователям рекламные приманки. Авторы исследования безопасности браузеров полагают, что хакеры начали все это делать с 2024 г.
Кража криптовалюты через расширения
Хакеры крадут криптовалюты через расширения браузеров Chrome и Edge, пишет TechSpot. Кроме того, расширения передают хакерам данные и пароли, вводимые на всех сайтах, собирают информацию из аккаунтов в Facebook* (принадлежит организации Meta*, которая признана экстремистской на территории России) и LinkedIn и извлекают историю посещений.
В сентябре 2026 г. эксперты компании Socket выяснили, что многие из обнаруженных вредоносных расширений для браузеров изначально, на момент появления в Chrome Web Store, не содержали вредоносного кода. Пять из 16 расширений были приобретены у оригинальных ИТ-разработчиков и заражены через автоматически распространяемые обновления. Это означает, что ИТ-модули являются расширяемыми: злоумышленники могут добавлять вредоносный функционал по мере необходимости. Авторы исследования из Socket полагают, что такая активность началась еще в 2024 г.
Расширение для браузера - это как приложение для вашего веб-браузера. Хотя расширения для браузеров могут повысить производительность и настроить пользовательский просмотр, некоторые из них могут собирать данные или даже открывать двери для вредоносных программ и других рисков безопасности. Эти приложения добавляют новые функции или ИТ-инструменты, такие как блокировка рекламы или проверка грамматики без необходимости покидать сайт, на котором находится пользователь.
Одно из таких расширений — Enable Right Click & Copy — Smart Unlock + OCR — доступно для Chrome и Edge. К моменту, когда оно стало вредоносным, его пользовательская база в Chrome превышала 70 тыс. человек, а в Edge составляла около 10 тыс.
Как работает вредонос
После установки вредоносное программное обеспечение (ПО) устанавливает зашифрованное WebSocket-соединение с серверами управления и контроля (C2), загружает модули JavaScript, удаляет заголовки Content Security Policy (CSP) с посещаемых сайтов и внедряет вредоносные скрипты через скрытые HTML-элементы. Это позволяет перехватывать данные пользователей на сайтах криптобирж и других онлайн-сервисов.
Специалисты Socket обнаружили, что вредоносные модули способны опустошать кошельки EVM, Solana и Tron за счет подмены кнопок «Подключить кошелек» и «Обменять». Они также подменяют сайты аппаратных кошельков Ledger и Trezor фишинговыми страницами, чтобы похищать сид-фразы. Кроме того, ИТ-модули крадут криптоактивы и данные учетных записей с крупнейших бирж — Coinbase, Binance, Kraken, OKX, MEXC, KuCoin, Bybit — а также из кошелька MetaMask.
Расширения передают злоумышленникам данные и пароли, вводимые на любых сайтах, собирают информацию из аккаунтов Facebook* и LinkedIn, а также извлекают историю посещений. Вредоносные программы могут отображать поддельные уведомления об обновлении браузера, побуждая жертву выполнить действия, нужные атакующим.
К моменту публикации 3 сентября 2026 г. отчета Socket все обнаруженные расширения уже удалили из Chrome Web Store, однако отмечается, что расширение для Edge еще было доступно в магазине Microsoft.
Пользователям, у которых были установлены вредоносные расширения, теперь рекомендуется считать свои учетные данные скомпрометированными и как можно быстрее сменить пароли. Кроме того, тем, кто хранил криптовалюту в затронутых кошельках, специалисты по кибербезопасности советуют перевести активы на новые адреса.
Опасные расширения
Это легитимные расширения с надлежащей функциональностью, которые были получены злоумышленником в какой-то момент, а затем дополнены вредоносными функциями: включить щелчок правой кнопкой мыши и копирование — интеллектуальная разблокировка + OCR; RapidLens - Google Lens для поиска и просмотра изображений на экране; QuickLens - поиск на экране с помощью Google Lens; защита PDF-файла паролем; разрешить копирование - выделить и включить щелчок правой кнопкой мыши (расширение Edge).
Расширения, созданные снуля злоумышленниками: PixelCheck; библиотека креативов - инструмент для слежки за рекламой, инструмент проверки посещаемости сайта: MirrorSphere SEO Stats; Site Signal - итнструмент проверки веб-трафика и SEO; SEO Pulse Pro - анализатор веб-трафика и SEO; частный читатель криптоновостей; Blockfolio: монитор адресов; курсы криптовалют и конвертер фиатных валют; криптовалютный оповещитель: сигналы о ценах и предупреждения о волатильности; DeFi Pulse Tracker; значок цен на криптовалюты: краткий обзор; LedgerLook: проверка кошелька; Meta* & Facebook* Ad Library Spy — cохранение объявлений, поиск, загрузка | FeedX-Ray.
Дополнительные ИТ-угрозы
Недавно компания Malwarebytes Labs предупредила о новой фишинговой схеме: злоумышленники создают поддельные сайты проверки криптоадресов на причастность к отмыванию денег и нарушению международных санкций (AML). Кроме того, для получения несанкционированного доступа к компьютерам хакеры воспользовались ИТ-уязвимостью функции «Совместное использование экрана» в операционной системе (ОС) macOS компании Apple.
Эксперты Malwarebytes Labs рекомендуют внимательно относиться к устанавливаемым расширениям браузера, особенно к тем, которые запрашивают широкие разрешения, и регулярно проверять список активных дополнений.
Короткая ссылка
