Koi Security раскопала кампанию VK Styles, в которой были замешаны пять расширений для Chrome, суммарно имеющие 500 000 установок. Они маскировались под темы оформления для ВКонтакте, а самое популярное набрало 400 000 загрузок. Пользователи думали, что качают утилиту для смены фона и темной темы ВКонтакте, а на деле получали трояна, который перехватывал управление их аккаунтом.
Командный центр был спрятан прямо в профиле VK некоего юзера - однако, грамотно 🎩. Расширение заходило на страницу, парсило HTML-метатеги (где был зашифрован URL полезной нагрузки) и скачивало вредоносный JS с GitHub. Весь трафик выглядел как легитимное обращение к
vk.com и github.ioФункционал зловреда заточен на монетизацию и вирусное распространение. С вероятностью 75% при каждом заходе в VK расширение подписывало жертву на паблики (один из них раскачали до 1.4 млн подписчиков). Скрипт забирал CSRF-токены, сбрасывал настройки ленты на умную (видимо, чтобы подсовывать рекламу) и менял тему сообщений 👩🦰
З.Ы. Если сотрудники любят ставить на рабочие браузеры всякие улучшатели, качалки музыки и темные темы, то есть риск, что их корпоративные аккаунты станут частью чьей-то фермы. А возможно, и чего похуже, через доступ к токенам... 🤔
Типичный 🥸 Сисадмин