Команда разработчиков WeTab / Infinity прокомментировала недавний инцидент с безопасностью, связанный с популярным браузерным расширением Clean Master. Согласно их заявлению, вредоносное обновление, которое установило бэкдор в браузеры пользователей, было результатом действий неустановленной третьей стороны.
Детали инцидента: Как работал бэкдор
Проблема была обнаружена в ходе анализа масштабной вредоносной кампании, получившей название "ShadyPanda". Выяснилось, что расширение Clean Master, наряду с несколькими другими, после нескольких лет легитимной работы получило вредоносное обновление в середине 2024 года. Это обновление встраивало в браузер бэкдор, предоставляющий злоумышленникам возможность удаленного выполнения кода. Это означает, что они могли загружать и выполнять любой JavaScript-код с полным доступом к данным браузера. Система каждый час связывалась с командным сервером для получения новых инструкций, а также собирала и передавала зашифрованную историю просмотров и цифровые отпечатки браузера.
Часть многолетней операции "ShadyPanda"
Инцидент с Clean Master является лишь частью продолжительной кибероперации, затронувшей более 4,3 миллиона пользователей браузеров Chrome и Edge. Злоумышленники действовали по продуманной схеме: годами они распространяли полезные расширения, накапливая пользовательскую базу и положительные отзывы. Некоторые из них, включая Clean Master, даже получали отметки "Featured" и "Verified" от Google, что значительно повышало доверие пользователей. После завоевания доверия злоумышленники выпускали скрытое обновление, которое превращало расширения в шпионские инструменты. Другие продукты того же издателя, например WeTab с тремя миллионами установок, были замечены в сборе URL-адресов, поисковых запросов и кликов мыши с последующей отправкой данных на серверы в Китае.
Официальная позиция разработчиков
Представители команды, стоящей за продуктами WeTab / Infinity, заявили, что они не несут ответственности за внедрение вредоносного кода. Вся вина за инцидент была возложена на третью сторону, которой удалось скомпрометировать процесс выпуска обновлений. В настоящее время подробности о том, как именно произошла атака на инфраструктуру разработчиков и какие меры предпринимаются для защиты пользователей, не разглашаются.
В свете произошедшего эксперты по кибербезопасности в очередной раз напоминают о рисках, связанных с браузерными расширениями. Данный инцидент демонстрирует, как даже проверенные и популярные инструменты могут стать вектором атаки. Пользователям скомпрометированных расширений настоятельно рекомендуется немедленно удалить их и сменить пароли от всех важных аккаунтов.