Шкідливе програмне забезпечення навчилося додавати розширення браузера, якого ви ніколи не схвалювали
Відкрийте Chrome, наберіть chrome://extensions в адресному рядку й подивіться на список. Усе, що в ньому є, має бути тим, що ви обрали самі. Бразильська група зловмисників витратила п'ятнадцять місяців, щоб зламати це припущення.
Elastic Security Labs цього тижня оприлюднила висновки про набір інструментів, який його ж автор назвав KREMLIN, хоча нічого російського за цим немає: коментарі в коді написані португальською, приманки видають себе за дванадцять бразильських банків, а криптовалютні транзакції операторів групуються довкола робочих годин Сан-Паулу. Уваги за межами Бразилії заслуговує сама техніка. Chrome і Edge ведуть файл із записом про те, які розширення ви схвалили, підписаний так, щоб його не можна було змінити за вашою спиною. Ця програма витягає з пам'яті ключі шифрування самого браузера, копіює своє розширення в папку вашого профілю, вмикає режим розробника, а потім самостійно перегенеровує ці підписи. Браузер запускається, бачить документи в порядку і завантажує те, чого ви ніколи не бачили.
Воно називається AVSync і читається як список побажань: файли cookie та токени сеансу, натискання клавіш у формах разом із паролями, знімки екрана, історія переглядів, відкриті вкладки плюс здатність вставляти власний вміст у сторінки, які ви відвідуєте. Найбільше важать токени сеансу, бо вкрадений токен впускає когось до вашого облікового запису без пароля й без коду з телефона. Elastic нарахувала 1515 заражених машин, 98 відсотків із них у Бразилії, у семи кампаніях від травня 2025 року.
Вхід банальний і цілком уникний: файл JavaScript, що надходить як банківська квитанція, рахунок чи корпоративний документ, і на якому хтось має двічі клацнути. Ніщо, що справді є квитанцією, не вимагає запускати файл .js, а Windows покаже вам справжній тип файлу, якщо ввімкнути відображення розширень у меню Вигляд у Провіднику. Перевірка безпеки Tendvane переглядає те, що встановилося на вашому ПК, і те, що налаштовано запускатися разом із Windows, а саме там і сидить решта цього набору.