Niepozorne rozszerzenie, które daje pełną kontrolę
Eksperci z firmy SquareX ujawnili nowy wektor ataku, który wykorzystuje funkcję synchronizacji Google Chrome do potajemnego przejęcia konta użytkownika. Ważnym elementem tego ataku jest złośliwe rozszerzenie, które początkowo wydaje się nieszkodliwe i pełni określoną funkcję – na przykład poprawia wygodę przeglądania. W rzeczywistości, po jego instalacji, zaczyna ono działać w tle, inicjując proces przejęcia urządzenia.
Atak rozpoczyna się od wykorzystania Google Workspace, gdzie cyberprzestępcy konfigurują fałszywe profile użytkowników, wyłączając dla nich funkcje zabezpieczeń, takie jak uwierzytelnianie wieloskładnikowe. Następnie, za pomocą socjotechniki, ofiara zostaje nakłoniona do instalacji rozszerzenia, które automatycznie loguje ją do jednego z przygotowanych przez atakujących profili Google.
Kolejnym krokiem jest synchronizacja przeglądarki – po jej włączeniu wszystkie dane użytkownika, w tym hasła, historia przeglądania i zakładki, zostają skopiowane na konto kontrolowane przez cyberprzestępców. W ten sposób uzyskują oni dostęp do wszystkich aplikacji, z których korzysta ofiara, oraz możliwość dalszej manipulacji jej urządzeniem.
Fałszywe aktualizacje i pełna kontrola nad przeglądarką
Po przejęciu profilu użytkownika atakujący przystępują do kolejnego etapu – przejęcia przeglądarki. W jednej z zaprezentowanych przez badaczy metod wykorzystano fałszywą aktualizację Zoom.
Ofiara otrzymuje powiadomienie o konieczności zaktualizowania aplikacji, a gdy kliknie w link, zamiast prawdziwej strony Zoom, zostaje przekierowana na spreparowaną witrynę. Tam pobiera złośliwy plik wykonywalny, który zawiera token rejestracyjny dający atakującym pełen dostęp do jej przeglądarki.
Po zainstalowaniu tego pliku cyberprzestępcy zyskują możliwość:
monitorowania aktywności użytkownika,
instalowania dodatkowych rozszerzeń i oprogramowania szpiegującego,
przekierowywania na strony phishingowe,
modyfikowania plików i przechwytywania danych,
aktywowania kamery oraz mikrofonu bez wiedzy użytkownika.
Eksperci SquareX podkreślają, że ten typ ataku jest szczególnie trudny do wykrycia, ponieważ ofiara nie otrzymuje żadnych wyraźnych sygnałów, że jej konto zostało przejęte.
Jak się chronić przed atakiem Syncjacking?
Google Chrome od lat zmaga się z problemem złośliwych rozszerzeń, które pomimo weryfikacji trafiają do Chrome Web Store. Nowy atak pokazuje, że cyberprzestępcy mogą ominąć standardowe mechanizmy zabezpieczeń, a użytkownicy powinni zachować szczególną ostrożność.
Instalowanie rozszerzeń z Chrome Web Store nie zawsze jest bezpieczne, dlatego warto dokładnie sprawdzać ich pochodzenie i wymagane uprawnienia. Należy unikać synchronizacji na nieznanych urządzeniach, a aktualizacje pobierać wyłącznie z oficjalnych stron producentów. Regularna kontrola ustawień przeglądarki i ostrożność w instalowaniu dodatków pomagają minimalizować ryzyko ataku.
