Összesen több mint 300 000-szer töltötték le a felhasználók azt a 30 veszélyes Chrome-bővítményt, amelyek többsége valamilyen AI-asszisztensnek adta ki magát.
A kiegészítők azonban csak látszólag voltak ilyen eszközök: valójában a hitelesítő adatok, a böngészési információk, valamint az e-mailek tartalmának ellopására voltak kihegyezve.
Mint a Bleeping Computer írja, a problémás bővítmények egy része még mindig elérhető a Chrome Webáruház kínálatában, és már ezek is több tízezer letöltéssel bírnak.
A problémát a LayerX nevű böngészőbiztonsági platform kutatói fedezték fel, és az AiFrame nevet adták a rosszindulatú kampánynak.
Megállapításaik szerint az összes elemzett bővítmény ugyanazon rosszindulatú tevékenység része, mivel egyazon domainen keresztül kommunikálnak a mögöttes infrastruktúrával.
A kutatók jelentésükben rámutatnak: a kampány legnépszerűbb bővítménye a Gemini AI Sidebar volt, melynek semmi köze a nevében említett Google-eszközhöz. Ennek ellenére csak ez az egy kiegészítés több mint 80 000 letöltést gyűjtött össze. Ez már nem elérhető a Chrome Webáruházban.
https://hvg.hu/tudomany/20260128_google-chrome-bongeszo-vertikalis-fuggoleges-lapsor-uj-funkcio-bekapcsolasa
A Bleeping Computer ugyanakkor úgy találta, sok bővítmény még mindig letölthető, noha ezek neve kismértékben eltérő lehet (például azért, mert közben változtattak rajta egy kicsit). Zárójelben az adott bővítmény egyedi azonosítója látható, ami nem változtatható:
- AI Sidebar (gghdfkafnhfpaooiolhncejnlgglhkhe) – 70 000 felhasználó
- AI Assistant (nlhpidbjmmffhoogcennoiopekbiglbp) – 60 000 felhasználó
- ChatGPT Translate (acaeafediijmccnjlokgcdiojiljfpbe) – 30 000 felhasználó
- AI GPT (kblengdlefjpjkekanpoidgoghdngdgl) – 20 000 felhasználó
- ChatGPT (llojfncgbabajmdglnkbhmiebiinohek) – 20 000 felhasználó
- AI Sidebar (djhjckkfgancelbmgcamjimgphaphjdl) – 10 000 felhasználó
- Google Gemini (fdlagfnfaheppaigholhoojabfaapnhb) – 10 000 felhasználó
A kártékony bővítmények nem helyben futtatják az AI-funkciókat, hanem egy távoli domainről töltik be őket, biztosítva az ígért funkcionalitást. Ez azért is kockázatos, mert a fejlesztők bármikor, az adott bővítmény frissítése nélkül változtathatnak a bővítmények működésén. Ez azt jelenti, hogy a Google sem vizsgálja újból a programot.
A veszélyes tevékenység a háttérben zajlik, és arra irányul, hogy minél több érzékeny adatot nyerjenek ki a böngészési tevékenységből – ide értve a belépési adatokat is. Külön érdekesség, hogy a fertőzött bővítmények egy csoportja kimondottan a Gmailre volt kihegyezve, és onnan igyekezett leveleket ellopni.
Az összes fertőzött bővítmény listáját ide kattintva találja. Ha valamelyiket használja a Chrome-ban, törölje azonnal.
Ha máskor is tudni szeretne hasonló dolgokról, lájkolja a HVG Tech rovatának Facebook-oldalát.
