Kaspersky araştırmacıları, masum görünen tarayıcı uzantılarının kullanıcılar için ne gibi riskler oluşturduğunu ve tehditlerini eklentiler altında gizleyen siber suçluların faaliyetlerini analiz etti.
Analiz sonucuna göre, 2022’nin ilk yarısında 1,3 milyondan fazla kullanıcı tarayıcı uzantılarında saklanan tehditlerden en az bir kez etkilendi. Bu 2021’in tamamı boyunca aynı tehditten etkilenen kullanıcı sayısının yüzde 70’inden fazla. Tarayıcı uzantılarında yer alan tehditler, Google Translator gibi popüler uygulamaları veya PDF Converter veya Video Downloader gibi faydalı işlevlere sahip uzantıları taklit ederek reklam gösterebiliyor.
Bu tür reklamlar genellikle kullanıcıların ilgisini çekmek, web sayfalarına banner yerleştirmek veya onları yasal arama motoru reklamları yerine geliştiricilerin para kazanabilecekleri bağlı kuruluş sayfalarına yönlendirmek için kullanıcıların tarama geçmişleri hakkında veri toplayabiliyor ve kimlik bilgilerini çalabiliyor.
Ocak 2020’den Haziran 2022’ye kadar Kaspersky uzmanları, 4,3 milyondan fazla benzersiz kullanıcının tarayıcı uzantılarında gizlenen reklam yazılımıyla karşılaştığını gözlemledi. Bu, etkilenen tüm kullanıcıların yaklaşık yüzde 70’inin bu tehditle karşılaştığı anlamına geliyor.
Dahası, kötü amaçlı ve istenmeyen eklentilerin resmi pazar yerleri aracılığıyla da dağıtıldığı tespit edildi. 2020’de Google, Chrome Web Mağazası’ndan 106 kötü amaçlı tarayıcı uzantısını kaldırdı. Bunlar çerezler ve şifreler gibi hassas kullanıcı verilerini çalmak ve ekran görüntüleri almak için kullanılıyordu. Toplamda, bu kötü amaçlı uzantılar 32 milyon kez indirildi ve milyonlarca kullanıcının verilerini riske attı.
Ancak bu sıkça yaşanan bir durum değil. Kötü amaçlı eklentilerin dağıtılmasının ana yolunu üçüncü parti kaynaklar oluşturuyor. FB Stealer adlı raporda Kaspersky araştırmacıları tarafından analiz edilen tehdit ailelerinden biri, yalnızca güvenilmeyen siteler aracılığıyla yayılıyordu. FB Stealer en tehlikeli tehdit ailelerinden biri, çünkü geleneksel arama motoru değiştirme ve bağlı kuruluş sayfalarının yeniden yönlendirilmesine ek olarak Facebook kullanıcı kimlik bilgilerini de çalabiliyor. Kullanıcılar SolarWinds Broadband Engineers Keymaker gibi üçüncü taraf kaynaklardan korsan bir yazılım yükleyici indirmeye çalıştığında, aslında tehlikeli bir NullMixer Truva atını sisteme aldılar. Ardından NullMixer, zararsız ve standart görünümlü Chrome uzantısı “Google Translate”i taklit ettiği için kullanıcıya daha az şüpheli görünen FB Stealer’ı cihaza yükledi.
NullMixer Truva atı FB Stealer’ı başlattıktan sonra, Facebook oturum çerezlerini (tarayıcıda saklanan ve kullanıcıların oturum açma bilgilerini tutan parçalar) ayıklayabiliyor ve bunları saldırganların sunucularına gönderebiliyor. Böylece bu çerezleri kullanarak kurbanın Facebook hesabına hızlıca giriş yapabiliyorlar. Hesaba girdikten sonra saldırganlar kurbanın arkadaşlarından para istiyor ve kullanıcı hesaba tekrar erişmeden önce mümkün olduğunca çok para koparmaya çalışıyor. Neticede bilinmeyen bir kaynaktan tuzaklı bir yükleyici indiren kullanıcılar, beklemedikleri bir tehditle karşılaşıyor ve çok sayıda arkadaşı parasını kaptırıyor.
