Исследователи SquareX "Syncjacking", который позволяет злоумышленникам перехватывать управление браузером жертвы через, казалось бы, безобидное расширение для Chrome. Несмотря на сложность исполнения, для проведения атаки потребуются минимальные разрешения и лишь немного социальной инженерии.

Сама атака состоит из следующих шагов:
1️⃣ Злоумышленник создает домен и регистрирует учетную запись Google Workspace с отключенной двухфакторной аутентификацией. Далее этот домен будет использоваться в фоновом режиме для привязки профиля на устройстве жертвы.

2️⃣ Затем создается функциональное расширение для браузера и публикуется в Chrome Store и, используя методы социальной инженерии, атакующий убеждает жертву установить необходимое ему расширение. Оно в фоновом режиме входит в один из управляемых профилей Google Workspace в скрытом окне браузера.

3️⃣ Далее расширение открывает страницу поддержки Google, на которой благодаря правам чтения и записи внедряет фальшивое сообщение, призывающее включить синхронизацию Chrome. После соглашения пользователя, все сохраненные данные становятся доступными злоумышленнику.

4️⃣ Но это еще не всё! После компрометации профиля злоумышленник пытается получить полный контроль над браузером. В одном из рассмотренных исследователями сценариев, расширение подменяет страницу обновления Zoom, предлагая установить новый клиент, который является исполняемым файлом с токеном регистрации в управляемом домене Google, что открывает злоумышленникам полный доступ к браузеру.

Атака отличается высокой скрытностью — единственным возможным индикатором может стать появление статуса "Управляется вашей организацией" в настройках Chrome.