Анализ вредоносного расширения Chrome Aggr и его потенциальные угрозы
На первый взгляд, 1 марта 2024 года ситуация казалась обычной для Twitter-пользователя с ником @doomxbt и его учетной записи на Binance. Однако, к 28 мая 2024 года анализ Twitter-пользователя @Tree_of_Alpha показал, что @doomxbt, возможно, установил вредоносное расширение Aggr из Chrome Store. Поддержка этого расширения была организована несколько месяцев назад через оплаченную рекламу у влиятельных лиц. 3 июня 2024 года другой пользователь, @CryptoNakamao, заявил о потере 1 миллиона долларов США из-за установки вредоносного Chrome-расширения Aggr.
Локализация вредоносного расширения
После удаления вредоносного расширения Google, некоторые исторические данные все еще доступны через снимки. При анализе, были выделены главные JavaScript-файлы: background.js, content.js, jquery-3.6.0.min.js и jquery-3.5.1.min.js. Static анализ показал наличие подозрительного кода, обрабатывающего файлы cookie через JSON и отправляющего их на сайт: https[:]//aggrtrade-extension[.]com/statistics_collection/index[.]php. Также были выявлены действия вредоносного расширения во время установки на тестовой среде, где были обнаружены запросы cookie на внешний сервер.
Временная шкала атаки
Анализ вредоносной страницы aggrtrade-extension[.]com показал, что хакеры начали планировать атаку три года назад и запустили ее четыре месяца назад. IP-адрес хакера был обнаружен в Москве, используя VPS от srvape.com, и электронная почта aggrdev@gmail.com.
Действия вредоносного расширения
После получения доступа к cookie, злоумышленники могут симулировать вход в учетную запись торговой платформы и выполнять транзакции без согласия пользователя, а также совершать вывод средств и получать доступ к чувствительной информации. Они также могут изменять настройки учетной записи, вводить в заблуждение пользователей через социальные атаки.
Противодействие
Для предотвращения подобных рисков необходимо: - Улучшить осведомленность о безопасности - Устанавливать расширения из доверенных источников - Использовать безопасное окружение для просмотра - Регулярно проверять активность аккаунта и выходить - Использовать аппаратные кошельки для крупных средств - Настроить браузер и установить безопасные дополнения - Использовать антивирусное ПО
Меры безопасности для платформ
Платформы могут уменьшить риски, предлагая двухфакторную аутентификацию, управление сессиями, улучшенные настройки безопасности и мониторинг поведения пользователей. Также важно обучать пользователей и предоставлять им инструменты для безопасности.
Заключение
Баланс между безопасностью и коммерческими интересами крайне важен. Пользователи и платформы должны принимать соответствующие меры по обеспечению безопасности без ущерба для пользовательского опыта. Различные подходы к риску могут быть применены в зависимости от платформы. Надежда на то, что пользователи и платформы смогут защитить аккаунты и активы, учитывая опыт пользователя.
