گوگل اعلام کرده که بعد از دو ماه بررسی توسط محققان امنیتی مستقل از جمله جمیله کایا و تیم امنیتی Duo در سیسکو بالغ بر ۵۰۰ افزونه مخرب کروم را از وب استور رسمی خود حذف کرده است.
این اکستنشن ها که البته حالا دیگر در وب استور وجود ندارند و در مرورگرهای مورد استفاده کاربران نیز از کار افتاده اند ظاهرا تبلیغات مخرب را به سِشِن های مرور وب آنها تزریق می کردند. در ادامه کد مخرب تزریق شده توسط افزونه ها تحت شرایطی خاص فعال می شد و کاربر را به سایت های معینی هدایت می کرد.
البته در برهه ای کاربران از طریق لینک های مربوطه صرفا به سایت های قانونی و اصل نظیر دل یا BestBuy ریدایرکت می شدند اما در ادامه پای سایت های شناخته شده دانلود بدافزار یا صفحات فیشینگ نیز به میان آمد.
براساس گزارش تازه ای که تیم امنیت Duo در سیسکو منتشر کرده است این افزونه ها بخشی از یک عملیات بدافزاری گسترده تر بوده اند که دست کم دو سال است آغاز شده. با این حال تیم محققان تهیه کننده این گزارش باور دارند گروهی که این عملیات را به راه انداخته احتمالا از اوایل دهه ۲۰۱۰ آغاز به فعالیت کرده است.
این عملیات توسط جمیله کایا شناسایی شد که نخستین بار در حین تهدید سنجی وب استور متوجه یک الگوی URL متداول در بازدیدهایی شد که از سایت های مخرب صورت می گیرد و اینگونه شد که به وجود افزونه های مخرب پی برد.
تعدادی از این افزونه ها مجموعا ۱.۴ میلیون بار دانلود شده اند
کایا در ادامه از سرویسی به نام CRXcavator برای تحلیل افزونه های کروم استفاده کرد و به لطف آن گروه نخست از افزونه هایی را شناسایی کرد که کدبیس مشابه داشتند اما از نام های ساختگی برای سرپوش گذاشتن بر فعالیت های واقعی خود استفاده می کردند. او جزئیات بیشتر از این کشف را طی مصاحبه ای با وبسایت ZDNet فاش کرد و گفت:
من به تنهایی بالغ بر دوازده افزونه را که از این الگو تبعیت می کردند پیدا کردم. بعد از تماس با Duo توانستیم با استفاده از دیتابیس CRXcavator هویت این افزونه ها را شناسایی کنیم و کل شبکه آنها را کشف کنیم. ما در ادامه یافته هایمان را در اختیار گوگل قرار دادیم تا اقدامات بعدی برای حذف این افزونه ها صورت بگیرد.
طبق اعلام تیم Duo سیسکو، اولین مجموعه از این افزونه ها توسط بیش از ۱.۴ میلیون کاربر کروم نصب شده اند با این حال گوگل نیز بررسی های اختصاصی خود را انجام داد و شمار بیشتری از این اکستنشن ها را شناسایی کرد.
