اختراق 16 “إضافة” على متصفح كروم يعرض أكثر من 600,000 مستخدم لسرقة البيانات!

في سلسلة هجمات سيبرانية واسعة النطاق، تم استهداف 16 إضافة (Extension) شائعة في متصفح كروم، ما أدى إلى تعرض أكثر من 600,000 مستخدم لتهديدات تتعلق بسرقة بياناتهم الحساسة وبيانات الدخول.

بدأت الحملة الخبيثة بحملة تصيّد إلكتروني ذكية استهدفت مطوري إضافات كروم عبر متجر Chrome Web Store. استغل المهاجمون أذونات الوصول بعد اختراق حسابات المطورين لنشر أكواد خبيثة داخل الإضافات الشرعية، مما مكنهم من سرقة ملفات تعريف الارتباط ورموز الوصول للمستخدمين.

أولى الضحايا كانت شركة الأمن السيبراني Cyberhaven، حيث تم استهداف أحد موظفيها عبر رسالة تصيّد إلكترونية تحمل عنوانًا مخادعًا من "دعم مطوري كروم". الرسالة زعمت وجود انتهاك مزعوم لسياسات المطورين، مما دفع الموظف إلى النقر على رابط خبيث، لتبدأ عملية الاختراق.

في 27 ديسمبر، كشفت Cyberhaven أن الإضافة (Extension) التي تم اختراقها تضمنت شيفرة خبيثة صُممت للتواصل مع خادم تحكم خارجي على النطاق cyberhavenext[.]pro. كما تم استخدام الشيفرة لتحميل ملفات إضافية وسرقة بيانات المستخدمين، بما في ذلك بيانات حساسة تخص حسابات فيسبوك التجارية.

كان أسلوب التصيّد بسيطًا ولكنه فعال: رسالة بريد إلكتروني تدعي أنها مرسلة من فريق دعم متجر كروم، وتُحذر من إزالة وشيكة للإضافة بسبب "انتهاك سياسات المطورين". هذه الصيغة خلقت إحساسًا زائفًا بالإلحاح، دفع المستلم إلى النقر على رابط أعاد توجيهه إلى تطبيق خبيث باسم "Privacy Policy Extension"، والذي طلب أذونات واسعة.

وبعد الحصول على الأذونات، تمكن المهاجمون من نشر إضافة (Extension) مخترقة عبر متجر كروم، بعدما اجتازت بنجاح عملية مراجعة الأمان المعتادة، وهو ما يثير تساؤلات جدية حول كفاءة آليات التدقيق الحالية.

أوضح أور إشيد، المدير التنفيذي لشركة LayerX، أن إضافات المتصفح غالبًا ما تُمنح أذونات مفرطة للوصول إلى بيانات حساسة، مثل ملفات تعريف الارتباط ورموز الهوية. وقال: "رغم أن إضافات المتصفح تبدو بريئة، إلا أنها في الواقع تمثل نقطة ضعف خطيرة في منظومة الأمان الإلكتروني."

وأشار إلى أن "العديد من المؤسسات لا تعرف ما هي الإضافات المثبتة على أجهزتها، مما يتركها مكشوفة أمام هذا النوع من الهجمات."

مع انتشار أخبار اختراق Cyberhaven، تم الكشف عن إضافات أخرى كانت تتواصل مع نفس خادم التحكم. وكشف جيمي بلاسكو، مدير التكنولوجيا في Nudge Security، عن نطاقات إضافية مسجلة منذ سنوات طويلة، مثل nagofsg[.]com وsclpfybn[.]com.

من بين الإضافات المخترقة المكتشفة حديثًا:

وفقًا لتحليل منصة Secure Annex، بدأت هذه الهجمات منذ أبريل 2023، وربما قبل ذلك، بناءً على تواريخ تسجيل النطاقات المستخدمة. وأكد الباحث جون توكنر أن الأكواد الخبيثة المستخدمة في إضافة Cyberhaven تم العثور عليها في إضافات أخرى، مما يشير إلى أن الهجمات كانت جزءًا من حملة منسقة واسعة النطاق.

رغم إزالة النسخ المخترقة لبعض الإضافات من متجر كروم، فإن ذلك لا يعني نهاية التهديد. أوضح أور إشيد أن "الإضافة المخترقة تظل خطرًا طالما كانت مثبتة على أجهزة المستخدمين. المهاجمون لا يزالون قادرين على الوصول إلى البيانات وسرقتها."