Команда исследователей безопасности из Koi нашла значительную кампанию вредоносного характера, нацеленную на пользователей популярной социальной сети ВКонтакте. Хакеры задействовали пять расширений для браузера Google Chrome, которые были установлены более чем полумиллионом пользователей. Под видом полезных инструментов для настройки интерфейса скрывается сложная схема перехвата управления аккаунтами.
Наиболее заметным оказалось расширение под названием VK Styles, призванное предложить улучшенный визуальный опыт. Однако в его коде специалисты выявили функции, позволяющие обойти механизмы защиты и производить действия от имени жертв. Умело замаскировав свою деятельность, злоумышленники использовали инфраструктуру ВКонтакте для координации работы вредоносного ПО. Команды и адреса для загрузки скриптов были зашифрованы в метатегах пользовательских профилей, что помогало избежать подозрений со стороны систем защиты.
Цель хакеров заключалась в скрытой накрутке популярности сообществ. Зараженные браузеры с высокой вероятностью автоматически подписывали пользователей на группы злоумышленников при каждом посещении социальной сети, позволяя сообществу, которое маскировалось под официальную поддержку, собрать более миллиона подписчиков. Если пользователь пытался изменить настройки своего аккаунта, программа автоматически сбрасывала их каждую тридцать дней, восстанавливая доступ для манипуляций.
Для осуществления своих планов злоумышленники перехватывали CSRF-токены, предназначенные для предотвращения межсайтовой подделки запросов, что позволило расширению действовать от имени реальных пользователей. Активность вредоносного характера была выявлена в ходе анализа кода, который генерировал динамические идентификаторы для обмана статических анализаторов. На данный момент Google уже удалила данное вредоносное расширение из своего магазина, однако эксперты настоятельно советуют пользователям проверить браузеры на наличие подобных надстроек и, если нужно, удалить их.