فهرست افزونه‌های مخرب شناسایی‌شده و نحوه انتشار آنها
از میان 19 افزونه شناسایی‌شده، 14 مورد توسط عامل تهدید ایجاد و منتشر شده‌اند، در حالی که پنج مورد دیگر افزونه‌های قانونی بوده‌اند که مهاجمان آنها را خریداری کرده‌اند. این افزونه‌های مخرب در دو گروه قرار می‌گیرند که در ادامه، فهرست آنها بر اساس نحوه دستیابی و انتشار ارائه شده است.
افزونه‌های خریداری‌شده توسط عامل تهدید:
- koccklolohdacbfooifnpebakpbeipc – Enable Right Click & Copy — Smart Unlock + OCR
- fegckejpfnlmfgkfjpinlbgmeeijjkel – RapidLens – Google Lens for Screen Search & Images
- kdenlnncndfnhkognokgfpabgkgehodd – QuickLens – Search Screen with Google Lens
- jamminefolhgepgihbmcjjhgldbfcikp – Password Protect PDF
- inmkjedjdhgpknjogbjomhnbgdccckkg – Allow Copy – Select & Enable Right Click (Microsoft Edge)
افزونه‌های ایجاد و منتشرشده توسط عامل تهدید:
- fcgdejjichpgfaaafflplhfijcnieopb – PixelCheck
- cfpnjdbpojpcongfaefcamjbaolpelcd – Creative Library – Ad Spy Tool
- aapdalkmclfaahehnmicbglkohkldhne – Website Traffic Checker: MirrorSphere SEO Stats
- dkdadldmiefjldmegbjbnhhfddnkhlhm – Site Signal – Website Traffic & SEO Checker
- fjmlhlkccegopebcllcmafahkmeejpph – SEO Pulse Pro – Website Traffic & SEO Analyzer
- iekoapohahgmogbagegmcgplbkikcgke – Private Crypto News Reader
- ahpnnnjbnfbhoikhohglpohnoocjcoco – Blockfolio: Address Monitor
- oeacadlaclegkkkdehjmiifnjhcekclj – Crypto Rates & Fiat Converter
- jmlgannjlbliikgcaieomgmcnfplglea – Crypto Alerter: Price Alarms & Volatility Warnings
- lhmcajhgadanidbopgaoobjlldegjmke – DeFi Pulse Tracker
- gfackggoapepdmnjnkblogdcjpgcjiak – Crypto Price Badge: Quick Glance
- hfijkbdkpidafdbeebnnkhfccildbcle – Multi-Chain Explorer
- cngchfbfgejllcbhmeadjhiebebiome – LedgerLook: Wallet Checker
- aodkjdeghbjiaienipfjkbpcikkacbcp – Meta & Facebook Ad Library Spy — Save Ads, Finder, Downloader | FeedX-Ray
هشدارهای امنیتی درباره QuickLens
در میان این افزونه‌های مخرب، افزونه QuickLens – Search Screen with Google Lens پیش‌تر نیز از سوی پژوهشگران امنیتی مورد بررسی قرار گرفته بود. شرکت‌های Annex Security و monxresearch-sec اوایل سال جاری با شناسایی این افزونه، درباره قابلیت‌های مخرب آن هشدار دادند. این قابلیت‌ها شامل انتقال بدافزار به کاربران، تزریق کد دلخواه (Arbitrary Code Injection) و جمع‌آوری داده‌های حساس هستند.
تداوم فعالیت مهاجمان و فریب کاربران
یافته‌های جدید Socket نشان می‌دهد دامنه فعالیت مهاجمان بسیار گسترده‌تر از آن چیزی است که پیش‌تر تصور می‌شد و شواهد موجود حاکی از آن است که این فعالیت‌ها از فوریه 2024 آغاز شده‌اند. بخشی از این فعالیت‌ها نیز در می 2025 توسط واحد DomainTools Investigations شناسایی و مستندسازی شده بود.
بر اساس این یافته‌ها، عامل تهدید وب‌سایت‌های جعلی متعددی ایجاد کرده بود که در ظاهر، خود را به‌عنوان سرویس‌های آنلاین معتبر، ابزارهای کاربردی، دستیارهای تولید و تحلیل محتوای تبلیغاتی و رسانه‌ای، سرویس‌های VPN و ابزارهای مرتبط با رمزارز و خدمات بانکی معرفی می‌کردند. مهاجمان با استفاده از این وب‌سایت‌ها، کاربران را فریب می‌دادند تا افزونه‌های مخرب را از فروشگاه کروم وب استور (Chrome Web Store) دانلود و نصب کنند.
واحد DomainTools Investigations اعلام کرده است که این افزونه‌ها معمولاً عملکردی دوگانه دارند؛ به این معنا که در ظاهر، عملکردی عادی و مورد انتظار کاربر را ارائه می‌دهند، اما در پس‌زمینه به سرورهای مخرب متصل می‌شوند. این ارتباط به مهاجمان امکان ارسال داده‌های کاربران، دریافت دستورات موردنظر و اجرای کد دلخواه را می‌دهد.
ارتباط افزونه‌های مخرب با سرورهای فرماندهی و کنترل
در میان افزونه‌های مخرب شناسایی‌شده، افزونه Enable Right Click & Copy — Smart Unlock + OCR بیشترین تعداد نصب را به خود اختصاص داده است. این افزونه در مجموع حدود 80 هزار بار در مرورگرهای کروم و اِج نصب شده است.
تمام این افزونه‌ها قابلیت برقراری ارتباط با سرور فرماندهی و کنترل (C2) و ایجاد یک اتصال پایدار وب‌سوکت (WebSocket) را نیز دارند.
به گفته Karlo Zanki، سازوکار بارگذاری این افزونه‌ها به مهاجمان اجازه می‌دهد Endpoint اتصال C2 را تغییر دهند. در این روش، آدرس سرور C2 بر اساس دستورهای دریافت‌شده از سرور C2 اولیه تغییر می‌کند. بررسی نمونه‌های واقعی نیز نشان داده است که مهاجمان از این قابلیت در حملات خود استفاده کرده‌اند.
این قابلیت به مهاجمان امکان می‌دهد قربانیان مختلف را به گروه‌ها و زیرساخت‌های اختصاصی C2 هدایت کنند و با استفاده از زیرساخت‌های جداگانه برای هر گروه، احتمال شناسایی فعالیت‌های خود را کاهش دهند. همچنین Endpoint استخراج داده‌ها می‌تواند به‌صورت پویا از طریق دستورهای C2 تعیین شود و برای هر قربانی، یک کانال اختصاصی استخراج داده ایجاد گردد.
قابلیت‌های مخرب QuickLens
بررسی‌های انجام‌شده روی QuickLens نشان می‌دهد کد مخرب تعبیه‌شده در این افزونه، هدرهای سیاست امنیت محتوای (CSP) صفحات وب را حذف کرده و از طریق اسکریپت‌های محتوایی (Content Scripts) امکان تزریق ماژول‌های جاوااسکریپت (JavaScript) به وب‌سایت‌های هدف را فراهم می‌کند.
در مجموع، 16 ماژول مخرب شناسایی شده است که هرکدام قابلیت مشخصی برای سرقت یا جمع‌آوری اطلاعات دارند. این ماژول‌ها شامل موارد زیر هستند:
- ابزار سرقت دارایی از کیف پول‌های چندزنجیره‌ای (Multi-Chain Wallet Drainer)
- ابزار سرقت عبارت بازیابی (Seed Phrase) کیف پول‌های سخت‌افزاری
- ابزار سرقت اطلاعات حساب‌های صرافی‌های رمزارزی و کیف پول‌ها
- ابزار سرقت اطلاعات ورود و داده‌های فرم‌ها
- ابزار سرقت حساب‌های فیسبوک و لینکدین
- ابزار سرقت تاریخچه مرورگر
- محتوای فریبنده مبتنی بر تکنیک کلیک‌فیکس (ClickFix)
ماژول کلیک‌فیکس با نمایش یک هشدار جعلی درباره به‌روزرسانی مرورگر، کاربر را فریب می‌دهد و با توجه به سیستم‌عامل او، دستورالعملی مشخص ارائه می‌کند تا کاربر دستور مخرب را کپی کرده و در سیستم خود اجرا کند.
سوءاستفاده از به‌روزرسانی خودکار افزونه‌ها
همچنان هویت دقیق عامل این فعالیت‌ها مشخص نیست. با این حال، ادامه فعالیت این گروه برای بیش از دو سال نشان می‌دهد که مهاجمان از توانایی و مهارت بالایی برخوردار هستند.
به گفته Zanki، بزرگ‌ترین تهدید برای کاربران، روش عملیاتی مهاجمان است. آنها ابتدا افزونه‌های قانونی را به دست می‌آورند و پس از جذب تعداد قابل‌توجهی کاربر، نسخه‌های جدیدی از این افزونه‌ها را با قابلیت‌های مخرب منتشر می‌کنند. به این ترتیب، افزونه‌های مخرب می‌توانند با سوءاستفاده از اعتماد کاربران و پایگاه کاربری نسخه قانونی، دامنه انتشار خود را به‌سرعت افزایش دهند.
این روش زمانی خطرناک‌تر می‌شود که با قابلیت به‌روزرسانی خودکار افزونه‌ها در کروم همراه باشد. در این حالت، نسخه آلوده می‌تواند بدون دخالت کاربر و به‌صورت خودکار جایگزین نسخه قبلی شود و روی سیستم کاربران نصب گردد. در نتیجه، نسخه آلوده می‌تواند در مدت کوتاهی روی سیستم کاربران بیشتری فعال شود و دامنه فعالیت مهاجمان را افزایش دهد.
