Złośliwe oprogramowanie nauczyło się dodawać rozszerzenie przeglądarki, którego nigdy nie zatwierdziłeś
Otwórz Chrome, wpisz chrome://extensions w pasku adresu i spójrz na listę. Wszystko, co się na niej znajduje, powinno być czymś, co sam wybrałeś. Brazylijska grupa przestępcza spędziła piętnaście miesięcy na wymyślaniu, jak to założenie złamać.
Elastic Security Labs opublikowało w tym tygodniu ustalenia dotyczące zestawu narzędzi, który jego własny autor nazwał KREMLIN, choć nie stoi za tym nic rosyjskiego: komentarze w kodzie są po portugalsku, przynęty podszywają się pod dwanaście brazylijskich banków, a transakcje kryptowalutowe operatorów skupiają się wokół godzin pracy w Sao Paulo. Uwagi poza Brazylią wymaga technika, która jest sednem sprawy. Chrome i Edge prowadzą plik z zapisem, które rozszerzenia zatwierdziłeś, podpisany tak, by nie dało się go zmienić za twoimi plecami. To oprogramowanie wyciąga z pamięci klucze szyfrujące samej przeglądarki, kopiuje swoje rozszerzenie do folderu twojego profilu, włącza tryb dewelopera, a następnie samo generuje te podpisy od nowa. Przeglądarka startuje, widzi dokumenty w porządku i ładuje coś, czego nigdy nie widziałeś.
Nazywa się AVSync i czyta się jak lista życzeń: pliki cookie i tokeny sesji, znaki wpisywane w formularzach łącznie z hasłami, zrzuty ekranu, historia przeglądania, otwarte karty oraz możliwość wstrzykiwania własnej treści na odwiedzane strony. Najbardziej liczą się tokeny sesji, bo skradziony token wpuszcza kogoś na twoje konto bez hasła i bez kodu z telefonu. Elastic naliczyło 1515 zainfekowanych maszyn, 98 procent w Brazylii, w siedmiu kampaniach od maja 2025 roku.
Droga do środka jest nudna i całkowicie do uniknięcia: plik JavaScript przychodzący jako potwierdzenie przelewu, faktura albo dokument firmowy, w który ktoś musi kliknąć dwa razy. Nic, co naprawdę jest potwierdzeniem, nie wymaga uruchomienia pliku .js, a Windows poda ci prawdziwy typ pliku, jeśli włączysz rozszerzenia nazw plików w menu Widok w Eksploratorze plików. Kontrola bezpieczeństwa w Tendvane przegląda to, co zainstalowało się na twoim komputerze, i to, co ustawiono do uruchamiania razem z Windowsem, a właśnie tam siedzi reszta tego zestawu.