Šikovná podvodná kampaň: 300 000 uživatelů chrome padlo do pasti falešných ai nástrojů
Co se stalo?
Bezpečnostní firma LayerX odhalila rozsáhlou kampaň malware zaměřenou na uživatele prohlížeče Google Chrome. Více než 300 000 lidí se stalo obětí rozšíření, která se vydávala za užitečné umělé inteligence (AI). Tyto rozšíření se vkládaly do prohlížeče a bez vědomí uživatelů kradly citlivá data, jako jsou přihlašovací údaje, e-maily a data z procházení webu.
Jak fungovala aiframe?
Operace, kterou LayerX pojmenovala AiFrame, zahrnovala 30 rozšíření, která byla navržena tak, aby vypadala jako nástroje pro práci s umělou inteligencí, jako jsou AI sidebary a překladače. Všechny rozšíření sdílely stejnou základní infrastrukturu, komunikovaly se stejnými servery a používaly identický JavaScript kód. To naznačuje, že se jednalo o koordinovanou a sofistikovanou kampaň.
Nejpopulárnější rozšíření a jejich dopad
Mezi nejpopulárnější rozšíření patřilo Gemini AI Sidebar s 80 000 uživateli, AI Sidebar s 70 000 uživateli, AI Assistant s 60 000 uživateli a ChatGPT Translate s 30 000 instalacemi. Všechny tyto rozšíření byly po odhalení odstraněny z obchodu Chrome. Tato čísla ukazují, jak snadno se podvodné rozšíření mohlo dostat do rukou neobezřetných uživatelů.
Skrytý mechanismus zneužití
Rozšíření nepoužívala lokální funkce AI. Místo toho načítala iframe z externího serveru, čímž simulovala funkčnost umělé inteligence. Tato technika umožňovala útočníkům měnit chování rozšíření bez nutnosti aktualizací, čímž se vyhnuli kontrole Google. Navíc, rozšíření extrahovala data z navštívených stránek, včetně stránek s přihlašováním.
Záměrný útok na gmail
15 rozšíření se zaměřovalo specificky na Gmail. Po načtení e-mailu v Gmailu, skripty čítaly obsah zpráv přímo z DOM (Document Object Model) a dokonce i čtení draftů. Pokud uživatel použil funkce jako odpovědi nebo shrnutí pomocí AI, text e-mailu byl posílán na servery ovládané útočníky, mimo bezpečnostní rámec Gmailu.
Ohrožení hlasové komunikace
Některá rozšíření obsahovala rozpoznávání hlasu, které umožňovalo přepisovat audio a odesílat ho na vzdálené servery. To představuje další potenciální hrozbu pro soukromí, protože útočníci mohli získat přístup k citlivým informacím sdíleným hlasem.
Doporučení a opatření
- Zkontrolujte seznam Indicator of Compromise (IOC) publikovaný firmou LayerX.
- Odstraňte veškeré podezřelé rozšíření Chrome.
- Změňte hesla ke všem důležitým účtům, zejména k těm, které jste používali při přihlašování na stránkách, kde jste mohli být vystaveni malware.