针对Chrome浏览器扩展程序网络钓鱼活动的新细节被披露chrome命令提示符应用程序浏览器知名企业网络钓鱼活动谷歌

尽管最初的报告主要集中在Cyberhaven的安全扩展上，但随后的调查显示，相同的代码已被注入到至少35个扩展中，总共约有2,600,000人使用。从目标开发者对LinkedIn和GoogleGroups的报告来看，最新的攻击活动于2024年12月5日左右开始。然而，有安全研究人员发现早期命令和控制子域早在2024年3月就已存在。

攻击首先会直接或通过与其域名关联的支持电子邮件发送给Chrome扩展程序开发人员的网络钓鱼电子邮件。从看到的电子邮件来看，该活动使用了以下域名来发送网络钓鱼电子邮件：

supportchromestore.com

forextensions.com

这封网络钓鱼电子邮件看起来像是来自Google，声称该扩展程序违反了ChromeWebStore政策，有被删除的风险。

具体来说，该扩展程序的开发人员会相信其软件的描述包含误导性信息，并且必须同意Chrome网上应用店政策。

攻击中使用的网络钓鱼电子邮件

恶意认证请求

权限审批提示

据了解，该员工启用了Google高级保护，并对其帐户进行了MFA，但没有收到MFA提示。该员工的Google凭据没有受到损害。

一旦威胁者获得了扩展程序开发人员帐户的访问权限，他们就会修改扩展程序以包含两个恶意文件，即“worker.js”和“content.js”，其中包含从Facebook帐户窃取数据的代码。

据VirusTotal称，威胁者预先注册了目标扩展的域名，即使他们没有遭受攻击。虽然大多数域名是在11月和12月创建的，但威胁者在2024年3月就测试了此攻击。

网络钓鱼活动中早期使用的子域

Facebook数据被劫持的扩展程序窃取

被盗信息将与Facebookcookie、用户代理字符串、FacebookID和鼠标单击事件打包在一起，并渗透到攻击者的命令和控制(C2)服务器。威胁者一直通过各种攻击途径瞄准Facebook企业帐户，从受害者的信用直接付款到他们的帐户，在社交媒体平台上运行虚假信息或网络钓鱼活动，或者通过将其访问权限出售给其他人来货币化。