افزونه‌های کروم با 13.4 میلیون نصب، جست‌وجوهای هک کردن را دستگیر کردند

یک کمپین عظیم ربودن جستجو شامل 319 افزونه کروم با مجموع 13.4 میلیون نصب گزارش شده، جستجوهای کاربران را از طریق سرورهای ردیابی جهت ایجاد درآمد تبلیغاتی از Bing و Yahoo هدایت کرد.

گزارش جدید جان تاکنر از Socket، کشف 57 افزونه کروم با 6 میلیون کاربر توسط محقق در آوریل 2025 را گسترش داد و 264 افزونه جدید شناسایی شده را با 8.7 میلیون کاربر دیگر اضافه کرد.

Tuckner توضیح داد: «این برنامه‌های افزودنی توسط تعدادی اپراتور سازمان‌یافته ایجاد شده‌اند که همگی از یک ایده کار می‌کنند: بی‌صدا موتور جستجوی پیش‌فرض مرورگر را در اختیار بگیرید، هر درخواست را از طریق یک سرور پروکسی مشکوک هدایت کنید، و پرداخت‌های ارجاع شریک را از یاهو یا بینگ تحت شناسه شریک سندیکا جمع‌آوری کنید.

افزونه‌ها، با فهرست کاملی که در پایین گزارش Socket به اشتراک گذاشته شده است، وانمود می‌کنند که مبدل‌های PDF، جستجوگرهای دستی، جستجوی ایمن و ابزارهای جستجوی هوش مصنوعی هستند. با این حال، در بیشتر موارد، برنامه های افزودنی به سادگی جستجوهای کاربران را از طریق یک سری از سایت ها هدایت می کنند تا زمانی که در بینگ یا یاهو قرار گیرند.

اگرچه آنها در فروشگاه وب کروم، پورتال رسمی Google برای افزونه‌های کروم میزبانی می‌شوند، اما Socket می‌گوید که آنها فهرست نشده‌اند و در جستجوهای کاربران در فروشگاه افزونه ظاهر نمی‌شوند.

در عوض، برنامه‌های افزودنی از طریق تبلیغات مشکوک موجود در وب‌سایت‌ها تبلیغ می‌شوند.

Tuckner توضیح می‌دهد که بسیاری از این افزونه‌ها برای رسیدن به هدف خود تقریبا به کد نیاز ندارند، زیرا تنظیمات داخلی Chrome_settings_overrides به آن‌ها اجازه می‌دهد تا جایگزین ارائه‌دهنده جستجوی پیش‌فرض شوند.

یک نمونه تجزیه و تحلیل شده در گزارش فقط شامل یک مانیفست و نمادها است، بدون اسکریپت پس‌زمینه، اسکریپت محتوا، یا مجوزهای درخواستی.

افزونه‌های ربوده‌شده مرورگر مانند این مدت‌ها است که مرز بین برنامه‌های بالقوه ناخواسته (PUP) و بدافزارها را محو کرده‌اند و BleepingComputer صدها افزونه مشابه را در طول سال‌ها گزارش کرده است.

برنامه‌های افزودنی در حال حاضر بر تولید درآمد از طریق ارجاع‌های جستجو تمرکز می‌کنند و جستجوهای کاربر را قبل از رسیدن به یاهو یا بینگ از طریق یک سرور تحت کنترل اپراتور منتقل می‌کنند.

با این حال، Tuckner هشدار می دهد که مقصد نهایی می تواند در هر زمان بدون به روز رسانی برنامه افزودنی تغییر کند، از جمله هدایت کاربران به سایت های فیشینگ یا دانلودهای مخرب.

Tuckner توضیح می‌دهد: «درآمد ارجاع جستجو یک چاله سودآور است در حالی که اپراتور پروکسی می‌تواند منتظر جمع‌آوری داده‌ها و ظاهر شدن اهداف قبل از هدایت مجدد به نتایج جستجوی مخرب یا صفحات فرود برای فیشینگ یا سایر دانلودهای مخرب باشد».

نمونه‌ای از این افزونه جستجوی Predator است که هنگام انجام شش جستجوی یکسان، Tuckner را به چهار سایت مختلف هدایت می‌کند.

«شش جستجوی مشابه که از طریق سرور جستجوی پراکسی آن ارسال شده بود در چهار مکان مختلف به پایان رسید: مستقیما به یاهو با برچسب‌های شریک (hspart=sz&hsimp=yhs-026)، یک صفحه فرود در searchlio.net، یک جهش از طریق searchtosearch.com به دامنه نتایج دوم (mcftink.com) قبل از یاهو، و یک صفحه غیرمنتظره خطای Cloudflare.»

"برنامه افزودنی هرگز تغییر نکرد؛ پراکسی هر مقصد را با شروع جستجو انتخاب کرد."

بزرگترین خوشه برنامه افزودنی اخیرا فعال «Bing-Search» با 37 افزونه و 2.2 میلیون کاربر است که اغلب از طریق تبلیغات Bidbrain تبلیغ می شود. موج دیگر «SecuryBrowse» با 58 افزونه و 4.9 میلیون کاربر است که افزونه‌هایی با مضمون امنیتی مانند Fire Shield، Securify و WatchTower را تبلیغ می‌کند.

این محقق گفت که بیشتر این افزونه‌ها در زمان انتشار این گزارش از فروشگاه وب کروم حذف شده‌اند. با این حال، موارد جدید به طور مداوم اضافه می شوند.

کاربران باید برنامه‌های افزودنی فهرست شده در گزارش Socket را از مرورگرهای وب خود حذف کنند، یک اسکن کامل AV روی سیستم خود اجرا کنند و از دانلود ابزارهای غیر ضروری و افزونه‌های مرورگر از ناشران ناشناس خودداری کنند.

BleepingComputer برای اظهار نظر در مورد یافته های Socket با گوگل تماس گرفته است، اما ما پاسخی از طریق انتشار دریافت نکرده ایم.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

افزونه‌های فروشگاه وب کروم در حال سرقت اطلاعات رمزنگاری و مرورگر دستگیر شدند

افزونه Twitch با نصب 30 هزار توکن OAuth کاربران را در معرض دید قرار می دهد

BragJack از طریق افزونه های مخرب به عوامل مرورگر هوش مصنوعی حمله می کند

بدافزار بررسی‌های مرورگر را دور می‌زند تا افزونه‌های Chrome و Edge را نصب کند

Google Chrome تشخیص کلاهبرداری مبتنی بر Gemini را اضافه می کند و به کاربران در مورد حملات ClickFix هشدار می دهد