Расширения Google Chrome для Roblox содержат бэкдор. Под угрозой более 200 тыс. игроков.
Исследователи BleepingComputer Для просмотра ссылки Войди
Есть два результата поиска для «SearchBlox» в Chrome. Согласно описанию, эти расширения позволяют «искать на серверах Roblox нужного игрока мгновенно». Анализ исследователей показал, что они оба содержат бэкдор
Для второго расширения всего с 959 загрузками бэкдор находился в файле «button.js». Вредоносный URL выглядит так: «hxxps://searchblox[.]сайт/image.png/image.txt». Страница содержит HTML-код, который делает вид, что отображает изображение, но вместо этого загружает обфусцированный JavaScript.
При декодировании код эксфильтрует учетные данные Roblox в другой домен: «releasethen.site».
Следует отметить, «searchblox.site» и «releasethen.site» были зарегистрированы в ноябре на одном веб-хостинге Hostinger. Код также предназначен для просмотра профиля игрока на Rolimons.
Что касается того, был ли бэкдор введен в расширение после компрометации злоумышленником или намеренно введен разработчиком, это еще предстоит определить авторитетным образом.
Некоторые игроки Roblox заметили, что инвентарь пользователя «Unstoppablelucent», предположительно разработчика расширения, увеличился за одну ночь, а аккаунт пользователя Rolimons под ником «ccfont» был удален 23 ноября из-за «подозрительных сделок с инвентарем».
BleepingComputer уведомил Google о вредоносных расширениях. Представитель Google подтвердил, что эти расширения были удалены и будут автоматически удалены из компьютеров, на которых они были установлены.
- Источник новости
- https://www.securitylab.ru/news/534949.php