Kupione, porzucone, uzbrojone: Jak złośliwe rozszerzenia przeglądarki stały się cichym zagrożeniem dla biznesu

• Złośliwe rozszerzenia przeglądarki stają się rosnącym zagrożeniem dla firm.
• Atakujący korzystają z przejętych rozszerzeń do kradzieży danych i inwigilacji.
• Organizacje mogą chronić się poprzez ścisłe monitorowanie i kontrolowanie rozszerzeń.
• Znane przypadki obejmują kampanię ShadyPanda i wiele incydentów z 2023 roku.

Kupione, porzucone, uzbrojone: Jak złośliwe rozszerzenia przeglądarki stały się cichym zagrożeniem dla biznesu

Rozszerzenia przeglądarki stały się nieodłącznym elementem naszego cyfrowego życia. Od blokerów reklam, przez menedżery haseł, po narzędzia zwiększające produktywność – miliony użytkowników na całym świecie polegają na tych małych dodatkach, aby usprawnić swoją pracę i codzienne przeglądanie internetu. Ufamy im, przyznając często szerokie uprawnienia dostępu do naszych danych. Jednak to zaufanie stało się celem dla cyberprzestępców. Obserwujemy dziś dojrzały i niepokojący trend: złośliwe wykorzystanie zakupionych rozszerzeń przeglądarki. Deweloperzy popularnych wtyczek, z milionami instalacji, sprzedają swoje dzieła lub porzucają je, otwierając drogę nowym właścicielom. Ci z kolei, w zaciszu automatycznych aktualizacji, przekształcają je w narzędzia do wstrzykiwania reklam, kradzieży danych, a nawet pełnoskalowej inwigilacji, często pozostając niezauważonymi w oficjalnych sklepach, takich jak Chrome Web Store.

W tym artykule dogłębnie analizujemy ten rosnący wektor ataku. Prześledzimy cykl życia rozszerzenia od pożytecznego narzędzia do złośliwego oprogramowania, przyjrzymy się głośnym kampaniom, które dotknęły setki milionów użytkowników, oraz przedstawimy praktyczne wskazówki dla menedżerów IT, CISO i liderów biznesu, jak chronić swoje organizacje przed tym ukrytym zagrożeniem.

Dlaczego rozszerzenia przeglądarki są tak cennym celem?

Atrakcyjność rozszerzeń przeglądarki dla cyberprzestępców wynika z unikalnego połączenia uprawnień, stałej obecności i zaufania użytkowników. To idealna platforma do prowadzenia długoterminowych i trudnych do wykrycia operacji.

• Głębokie uprawnienia: Rozszerzenia, w zależności od przyznanych im zgód, mogą uzyskać dostęp do niezwykle wrażliwych obszarów. Jak wskazują badania akademickie oraz analizy Google, mają one możliwość odczytywania i modyfikowania zawartości DOM (struktury strony internetowej), dostępu do plików cookie, lokalnej pamięci masowej, historii przeglądania, pobranych plików, a nawet schowka. W skrajnych przypadkach mogą również uzyskać dostęp do kamery, mikrofonu czy systemu plików.
• Stała obecność i widoczność na wielu stronach: W przeciwieństwie do złośliwego oprogramowania uruchamianego jednorazowo, rozszerzenie jest stale aktywne w przeglądarce. Obserwuje lub modyfikuje wszystkie strony, które pasują do zadeklarowanego zakresu działania. To często obejmuje kluczowe usługi, takie jak poczta internetowa, dyski w chmurze, systemy bankowości elektronicznej czy coraz popularniejsze narzędzia AI (źródło).
• Zaufanie i niewidzialność: Użytkownicy mają tendencję do ufania rozszerzeniom, które mają dużą liczbę instalacji i pozytywne recenzje. Jak pokazała kampania ShadyPanda, to właśnie ten mechanizm społecznego dowodu słuszności jest cynicznie wykorzystywany przez atakujących (źródło). Co więcej, raz zainstalowane rozszerzenie aktualizuje się automatycznie i w tle. Pojedyncza złośliwa aktualizacja może w jednej chwili zmienić miliony bezpiecznych urządzeń w zainfekowane, bez konieczności uzyskiwania nowej zgody od użytkownika.
• Monetyzacja ruchu internetowego: Wewnętrzne badania Google wykazały, że ekosystem nadużyć związanych z rozszerzeniami różni się od klasycznego malware. Celem rzadziej jest ransomware czy bezpośrednia kradzież środków z kont bankowych. Zamiast tego, atakujący skupiają się na oszustwach reklamowych, śledzeniu użytkowników, kradzieży danych uwierzytelniających czy eksfiltracji danych w celu ich dalszej sprzedaży.

Anatomia ataku: Od legalnej wtyczki do złośliwego oprogramowania

Schemat działania, który stał się powszechny w ekosystemie rozszerzeń, można podzielić na pięć głównych faz.

1. Faza legalnego wzrostu: Deweloper publikuje autentycznie użyteczne rozszerzenie. Z czasem zdobywa ono popularność, tysiące instalacji, wysokie oceny, a niekiedy nawet oficjalne odznaki, takie jak „Polecane” (Featured) lub „Zweryfikowane” (Verified) od Google. Przez miesiące, a nawet lata, wtyczka działa w oparciu o czysty kod, budując zaufanie użytkowników i pozytywną reputację, która pozwala jej przechodzić automatyczne kontrole bezpieczeństwa w sklepach z aplikacjami (źródło) (źródło).
2. Przejęcie lub kompromitacja: W pewnym momencie właściciel decyduje się sprzedać rozszerzenie, jego konto zostaje skompromitowane, lub projekt zostaje porzucony i przejęty przez inny podmiot. Transakcje te często odbywają się na nieformalnych, podziemnych rynkach lub poprzez prywatne umowy. Nowy operator jest zazwyczaj motywowany finansowo i nie ma nic wspólnego z pierwotnym twórcą.
3. Przygotowanie i telemetria: Nowy właściciel wypuszcza „nieszkodliwe” aktualizacje, które wprowadzają mechanizmy śledzące, telemetrię lub infrastrukturę do zdalnego ładowania kodu. Celem jest profilowanie użytkowników, ocena skali wdrożenia i analiza środowisk, w których działa rozszerzenie. Uprawnienia mogą pozostać niezmienione, aby nie wzbudzać podejrzeń, a wdrożenie złośliwej logiki jest odkładane na później (źródło) (źródło).
4. Aktualizacja “uzbrajająca”: Po zgromadzeniu wystarczającej liczby instalacji i ugruntowaniu zaufania, publikowana jest nowa wersja, która aktywuje złośliwe funkcje. Może to obejmować wstrzykiwanie reklam, przekierowania afiliacyjne, kradzież danych (pliki cookie, tokeny, zawartość formularzy, logi z czatów AI), przejmowanie sesji do usług pocztowych, chmurowych lub kryptowalutowych, a także przekierowywanie wyników wyszukiwania lub wstrzykiwanie złośliwych skryptów na odwiedzanych stronach (źródło) (źródło) (źródło). Mechanizmy automatycznych aktualizacji w Chrome, Edge czy Firefoxie w ciszy dostarczają ten złośliwy ładunek do wszystkich użytkowników.
5. Monetyzacja i unikanie detekcji: Złośliwe rozszerzenie kontynuuje ewolucję. Atakujący stosują zaawansowane techniki, takie jak zaciemnianie (obfuskacja) kodu, opóźniona aktywacja oraz zdalna konfiguracja, aby uniknąć skanerów bezpieczeństwa (źródło) (źródło). Zachowanie rozszerzenia może być również dostosowane do konkretnej platformy, aby zmniejszyć szanse na wykrycie podczas procesu weryfikacji w sklepie.

Studium przypadku: 7-letnia operacja ShadyPanda

Kampania ShadyPanda jest podręcznikowym przykładem tego, jak opisany cykl życia może wyglądać w praktyce, rozciągając się na wiele lat. Jak wynika z analizy przeprowadzonej przez Koi.ai, operacja ta trwała około siedmiu lat i zainfekowała szacunkowo 4,3 miliona przeglądarek.

Atakujący z ShadyPanda doskonale wykorzystali słabości ekosystemu. Zrozumieli, że proces weryfikacji w Chrome Web Store koncentruje się głównie na pierwszym zgłoszeniu rozszerzenia, a nie na jego długoterminowym zachowaniu. Wiedzieli również, że użytkownicy darzą ogromnym zaufaniem wtyczki z dużą liczbą instalacji i dobrych opinii. Kluczem do ich sukcesu była jednak cierpliwość: utrzymywanie legalnego działania przez miesiące, a nawet lata, przed ostatecznym “uzbrojeniem” pozwoliło im zgromadzić ogromną bazę ofiar i uniknąć wzmożonej kontroli.

W latach 2018-2019 operatorzy kampanii opublikowali pięć rozszerzeń, w tym popularne narzędzie Clean Master z ponad 200 000 instalacji. Przez lata wszystkie te wtyczki działały zgodnie z przeznaczeniem, zdobywając status „Polecane” i „Zweryfikowane” w Chrome Web Store. Ich strategia była prosta: „zbuduj zaufanie, zgromadź użytkowników, a następnie uzbrój za pomocą jednej aktualizacji”.

Punkt zwrotny nastąpił w połowie 2024 roku. Gdy łączna liczba instalacji przekroczyła 300 000, operatorzy wypchnęli złośliwą aktualizację. Zaufany mechanizm automatycznych aktualizacji w przeglądarkach Chrome i Edge dostarczył payload po cichu do wszystkich użytkowników. Nie były potrzebne żadne dodatkowe monity o uprawnienia ani akcje phishingowe, ponieważ użytkownicy już wcześniej wyrazili na nie zgodę. W jednej chwili wszystkie pięć rozszerzeń zaczęło uruchamiać identyczny złośliwy kod, przekształcając narzędzia do poprawy produktywności w platformy do inwigilacji.

Skala problemu w świetle badań

Przypadek ShadyPanda nie jest odosobniony. Badania prowadzone zarówno przez gigantów technologicznych, jak i środowiska akademickie, potwierdzają ogromną skalę tego zjawiska.

Już wczesne, wewnętrzne studium Google dotyczące nadużyć w Chrome Web Store na przestrzeni trzech lat ujawniło szeroko zakrojone działania przestępcze mające na celu wykorzystanie sklepu jako platformy dystrybucji malware. Tylko w jednym z badanych klastrów, przed wykryciem, zainfekowanych zostało ponad 50 milionów użytkowników. W raporcie podkreślono, że głównym celem ataków jest monetyzacja ruchu internetowego, śledzenie użytkowników, przejmowanie wyszukiwania i oszustwa reklamowe. W odpowiedzi na te zagrożenia, Google wprowadziło system WebEval, łączący analizę dynamiczną, statyczną i sygnały reputacyjne w celu identyfikacji złośliwych rozszerzeń na dużą skalę.

Z kolei praca naukowa z 2025 roku, opublikowana w serwisie arXiv, skupiająca się na rozszerzeniach dla Chrome i Firefoxa, dokumentuje kluczowe techniki wykorzystywane przez przestępców. Zwraca uwagę na bogatą powierzchnię ataku, która umożliwia phishing, szpiegostwo, ataki DDoS czy oszustwa afiliacyjne. Badacze podkreślają, że przestępcy często aktualizują istniejące rozszerzenia o złośliwy kod lub publikują ponownie te usunięte pod nowymi nazwami, aby ominąć zabezpieczenia. Techniki takie jak opóźniona aktywacja i zaciemnianie kodu pozwalają złośliwej logice pozostać uśpioną podczas procesu weryfikacji. Co istotne, badanie wskazuje, że nawet nowszy standard Manifest V3 nie jest panaceum. Eksperci i prelegenci na konferencji DEF CON wykazali, że nawet w ramach MV3 rozszerzenia mogą omijać kontrole bezpieczeństwa i kraść pliki cookie, transmisje na żywo czy dane uwierzytelniające, nadużywając legalnych API.

Współczesne incydenty: Gdy zaufane narzędzia stają się zagrożeniem

Lata 2023-2025 przyniosły kolejne dowody na to, że model przejmowania i “uzbrajania” rozszerzeń jest wciąż popularny i skuteczny.

W głośnym incydencie z 2023 roku, opisanym przez Blucando.it, odkryto, że dziesiątki rozszerzeń do Chrome, w tym popularne narzędzia takie jak „PDF Toolbox” czy „Autoskip for YouTube”, ładowały dowolny kod z serwerów kontrolowanych przez atakujących, mimo że na pierwszy rzut oka wyglądały na legalne. Łącznie miały one około 87 milionów instalacji. Ich złośliwa działalność polegała m.in. na modyfikowaniu wyników wyszukiwania w celu dodania linków adware oraz na wstrzykiwaniu skryptów w celu eksfiltracji danych. Co niepokojące, skargi użytkowników na podejrzane zachowanie były początkowo ignorowane, a do podjęcia działań doszło dopiero po nagłośnieniu sprawy przez badaczy bezpieczeństwa i media.

Inne badanie, powiązane z Uniwersytetem Stanforda, obejmujące okres od lipca 2020 do lutego 2023 roku, wykazało, że ponad 280 milionów użytkowników pobrało rozszerzenia do Chrome zainfekowane złośliwym oprogramowaniem. Badacze zauważyli, że złośliwe wtyczki mają tendencję do żądania większej liczby uprawnień niż te bezpieczne. Zwrócili również uwagę na niepokojący fakt, że 60% rozszerzeń w Chrome Web Store nigdy nie zostało zaktualizowanych, co czyni je idealnymi kandydatami do przejęcia i późniejszego wykorzystania w atakach (źródło).

Niedawne kampanie wykorzystują także popularność sztucznej inteligencji. Firma OX Security poinformowała, że ponad 900 000 użytkowników Chrome zainstalowało rozszerzenia, które kradły dane z czatów AI, takich jak ChatGPT. Narzędzia te, reklamowane jako „usprawniacze produktywności”, wstrzykiwały kod przechwytujący treść rozmów, co mogło prowadzić do wycieku wrażliwych informacji (źródło). Podobne przypadki udokumentowała firma SOCRadar, opisując rozszerzenia podszywające się pod narzędzia ChatGPT i DeepSeek w celu kradzieży czatów i potencjalnie danych uwierzytelniających (źródło).

Ewolucja zagrożenia: Ataki wieloplatformowe i na środowiska korporacyjne

Zagrożenie to już dawno przestało ograniczać się do konsumenckiej wersji przeglądarki Chrome. Atakujący rozszerzają swój zasięg, a ich cele stają się coraz bardziej ambitne.

Wiele złośliwych kampanii celuje obecnie jednocześnie w przeglądarki Chrome, Edge i Firefox, aby zmaksymalizować liczbę ofiar i utrudnić usunięcie zagrożenia. Stosują przy tym techniki unikania detekcji specyficzne dla danej platformy, aktywując złośliwy kod tylko w określonych środowiskach (źródło) (źródło).

Szczególnie niepokojący jest rosnący trend celowania w korporacyjne kanały dystrybucji rozszerzeń. Atakujący coraz częściej próbują zinfiltrować środowiska, w których administratorzy IT centralnie zarządzają i wdrażają rozszerzenia dla dużej liczby użytkowników. Przejęte lub “uzbrojone” rozszerzenie może w ten sposób uzyskać masowy dostęp do firmowej poczty e-mail, wewnętrznych narzędzi SaaS, wrażliwych dokumentów, a nawet konsol deweloperskich (źródło). W odpowiedzi na to ryzyko, niektórzy dostawcy promują rozwiązania typu „Secure Enterprise Browsing”, co jest wyraźnym sygnałem, że sam model działania rozszerzeń stanowi strukturalne zagrożenie dla firm.

Wskazówki dla firm: Jak bronić się przed ukrytym zagrożeniem?

Gdy popularne, zaufane rozszerzenie zostaje “uzbrojone”, ryzyko dla organizacji jest ogromne. Obejmuje ono kradzież danych uwierzytelniających do kluczowych systemów, przejmowanie sesji, eksfiltrację danych z czatów AI (które mogą zawierać kod źródłowy, plany strategiczne czy dane osobowe), a także możliwość ruchu lateralnego wewnątrz sieci korporacyjnej poprzez nadużycie sesji SSO. Ponieważ zmiany te docierają do użytkowników jako ciche aktualizacje do już zatwierdzonych narzędzi, zarówno pracownicy, jak i działy IT mogą zostać skompromitowani bez podjęcia żadnej nowej, jawnej akcji.

Zrozumienie wskaźników kompromitacji i wdrożenie odpowiednich środków zaradczych jest kluczowe dla ochrony organizacji.

Wskaźniki potencjalnego zagrożenia:

• Nagła, niewyjaśniona zmiana nazwy dewelopera lub tożsamości wydawcy rozszerzenia.
• Gwałtowny wzrost żądanych uprawnień w nowej aktualizacji (np. z podstawowego dostępu do kart na „odczyt i zmiana wszystkich Twoich danych na wszystkich stronach internetowych”).
• Pojawienie się komunikacji z nowymi, nieznanymi lub niedawno zarejestrowanymi domenami zewnętrznymi.
• Znaczące zmiany w kodzie, zwłaszcza wprowadzenie silnej obfuskacji po długim okresie drobnych aktualizacji (źródło) (źródło).

Środki zaradcze i mitygacja ryzyka dla przedsiębiorstw:

• Wprowadź rygorystyczne listy dozwolonych rozszerzeń (allowlists): W środowiskach o wysokim ryzyku należy zezwalać na instalację wyłącznie predefiniowanego, zweryfikowanego zestawu rozszerzeń. Wszystkie inne powinny być domyślnie blokowane.
• Monitoruj aktualizacje rozszerzeń: Wdróż mechanizmy monitorujące zdarzenia związane z aktualizacjami. Każda aktualizacja, która dodaje nowe, ryzykowne uprawnienia lub nowe punkty końcowe sieci, powinna podlegać szczegółowej analizie.
• Preferuj rozszerzenia z transparentnych źródeł: Daj pierwszeństwo rozszerzeniom, które mają otwarty kod źródłowy, stabilnego i znanego wydawcę oraz jasną politykę prywatności, która odpowiada ich faktycznemu działaniu.
• Integruj telemetrię przeglądarki z systemem SIEM: W organizacjach dojrzałych pod względem cyberbezpieczeństwa, dane telemetryczne z przeglądarek (np. użycie API, domeny docelowe komunikacji wychodzącej) powinny być integrowane z systemem SIEM. Pozwoli to na wykrywanie anomalii w zachowaniu rozszerzeń, które mogą wskazywać na złośliwą aktywność.
• Prowadź regularne audyty i przeglądy: Okresowo przeprowadzaj audyt zainstalowanych rozszerzeń w całej organizacji, aby zidentyfikować i usunąć te, które są już nieużywane, porzucone przez deweloperów lub wykazują podejrzane cechy.

Jak możemy pomóc?

Zrozumienie zagrożeń związanych z rozszerzeniami przeglądarek to pierwszy, kluczowy krok. Następnym jest proaktywne zabezpieczenie organizacji przed tym i wieloma innymi wektorami ataków. W VIPentest specjalizujemy się w identyfikacji i mitygacji ryzyk w aplikacjach webowych i infrastrukturze IT.

Nasz zespół ekspertów może pomóc Twojej firmie w przeprowadzeniu zaawansowanych testów penetracyjnych, audytów bezpieczeństwa aplikacji oraz w budowie solidnych polityk bezpieczeństwa, które uwzględniają zagrożenia takie jak złośliwe rozszerzenia. Pomagamy organizacjom nie tylko reagować na incydenty, ale przede wszystkim im zapobiegać.

Jeśli chcesz ocenić odporność swojej firmy na współczesne zagrożenia i upewnić się, że Twoje środowisko cyfrowe jest bezpieczne, skontaktuj się z nami. Chętnie omówimy Twoje potrzeby i zaproponujemy rozwiązania dostosowane do Twojej organizacji.

Zapraszamy do kontaktu: Kontakt

FAQ