300+ zlonamernih Chrome razširitev: 37 milijonov prenosov, tiho sledenje in kraja podatkov
Raziskovalci so odkrili 300+ Chrome razširitev, ki iztekajo zgodovino brskanja, sledijo uporabnikom ali kradejo podatke – tudi iz Gmaila. Skupno govorimo o več kot 300 razširitvah, katerih prenosov je skupaj več kot 37 milijonov. Preverite korake za zaščito.
Kaj se dogaja v Chrome Web Store?
Raziskovalci so v Chrome ekosistemu zaznali obsežen val razširitev, ki bodisi iztekajo podatke bodisi aktivno vohunijo. Skupno govorimo o več kot 300 razširitvah, katerih prenosov je skupaj več kot 37 milijonov. Del razširitev pošilja podatke “mimogrede” zaradi monetizacije, del pa kaže jasne znake zlonamerne namere. Najbolj problematično je, da uporabnik pogosto sploh ne opazi nič nenavadnega v delovanju brskalnika. To pomeni, da se tveganje kopiči tiho in dolgotrajno, dokler ni posledic.
- Kaj je izpostavljeno: zgodovina brskanja, iskalni rezultati, vsebine zavihkov
- Zakaj je to nevarno: profiliranje, sledenje, kraja identitete, ciljano izsiljevanje
- Kje se začne: namestitev “uporabne” razširitve z nepotrebnimi dovoljenji
Zlonamerne Chrome razširitve – raziskava (.pdf) povezava vodi na https://github.com/ 
Kako so razširitve uhajale do zgodovine brskanja?
Analiza omrežnega prometa razširitev je pokazala, da številne pošiljajo zgodovino obiskanih strani ali podatke s strani z rezultati iskalnikov (SERP). V vsaj delu primerov se podatki lahko prenašajo tudi prek slabše zaščitenih poti, kar poveča tveganje prestrezanja. Raziskovalci so potrdili več kot sto razširitev, ki zgodovino začnejo izvažati praktično takoj po namestitvi. Ob tem so odkrili še dodatne “sumljive” razširitve, povezane prek istih avtorjev ali podobnih metapodatkov. V praksi to kaže na širši ekosistem, kjer lahko monetizacija poteka tudi prek posrednikov (data brokerjev), ne nujno le prek avtorjev razširitev.
- Tipičen vzorec: “brezplačna” funkcija + agresivna dovoljenja + tiho pošiljanje podatkov
- Kaj napadalci dobijo: interesna področja, navade, službene sisteme, ki jih obiskujete
- Zakaj je težko zaznati: brskalnik deluje normalno, odtok se zgodi v ozadju
Zakaj je zgodovina brskanja skoraj osebni dokument?
Zgodovina brskanja ni le seznam URL-jev, ampak zelo natančen zemljevid interesov, zdravstvenih poizvedb, finančnih namigov in delovnih aktivnosti. Tudi če je “anonimizirana”, se lahko v kombinaciji z drugimi podatki pogosto poveže nazaj na posameznika ali organizacijo. Ko enkrat pristane pri tretjih straneh, se lahko uporablja za oglaševalsko profiliranje, socialni inženiring ali ciljani phishing. V poslovnih okoljih je dodatna težava, da zgodovina pogosto razkrije uporabljene SaaS storitve, interne portale in vzorce prijav. Posledica je, da se varnostno tveganje razširi z ene naprave na celoten digitalni ekosistem uporabnika.
- Tveganja za posameznike: kraja identitete, izsiljevanje, prevara pri prijavah
- Tveganja za podjetja: razkritje dobaviteljev, notranjih portalov, delovnih procesov
- Najslabši scenarij: ciljan phishing “po meri” na podlagi vaše rutine brskanja
“AiFrame” razširitve: ko razširitev prevzame uporabniški vmesnik
Ločeno poročilo je opisalo kampanjo okoli približno 30 razširitev, ki so se predstavljale kot AI pomočniki in produktivnostna orodja. Ključni trik je vbrizgavanje iframe-ov, s katerimi lahko napadalec v brskalniku naloži oddaljeno vsebino in manipulira z UI brez klasične posodobitve razširitve. Nekatere razširitve so bile usmerjene prav v Gmail in so iz vsebine e-pošte izločale podatke ter jih pošiljale na infrastrukturo tretjih strani. Zaznani so bili tudi mehanizmi za ekstrakcijo podatkov iz aktivnega zavihka ter dodatni sledilni elementi, kar kaže na organizirano in ponovljivo zlorabo. Ker se razširitve navzven obnašajo “koristno”, jih uporabniki pogosto obdržijo nameščene dlje časa.
- Tipične maske: “AI sidebar”, “AI assistant”, prevajalniki, povzetki dokumentov
- Kaj se lahko krade: e-pošta, osnutki, vsebina strani, metapodatki, API ključi
- Zakaj je nevarno: oddaljena kontrola UI pomeni hitre spremembe taktike napadalca
Kako se zaščitite takoj danes?
Najhitrejši ukrep je pregled nameščenih razširitev in odstranjevanje vsega, česar ne potrebujete ali ne prepoznate. Nato preverite dovoljenja: razširitve, ki zahtevajo “Read and change all your data on websites you visit” ali dostop do zgodovine, morajo imeti zelo dober razlog. Če ste imeli nameščene sumljive razširitve, je smiselno zamenjati gesla (posebej za e-pošto) in vklopiti MFA, ker so podatki lahko že odšli. Priporočljivo je tudi preveriti prijavne aktivnosti v Google računu in drugih ključnih storitvah ter prekiniti aktivne seje, če opazite anomalije. Za organizacije je dodaten korak uvedba allowlist politike razširitev prek upravljanja brskalnikov, da se tveganje sistemsko zniža.
- Hitri pregled: Chrome → Extensions → Remove + “Manage extensions” + preveri dovoljenja
- Higiena računov: menjava gesel + MFA + pregled sej in prijav (Google Security)
- Preventiva: nameščajte le nujno, spremljajte ocene/avtorje, redno čistite razširitve
Viri
- The Register: Security researcher finds 287 Chrome extensions leaking data.
- GitHub (Q Continuum): Report / seznam razširitev in metodologija (“spying-extensions”).
- LayerX: “AiFrame” – Fake AI assistant extensions targeting 260,000 Chrome users via injected iframes.
- The Register: 30+ Chrome extensions disguised as AI chatbots steal secrets.
- Malwarebytes: How to find and remove credential-stealing Chrome extensions.
