Новая вредоносная кампания использует доверие пользователей к знакомому имени. Исследователи безопасности обнаружили поддельный установщик CCleaner, который устанавливает GhostDesk — вредоносное расширение Chrome, предназначенное для скрытого сбора файлов cookie, сохранённых учётных данных, нажатий клавиш и снимков экрана с заражённых Windows-машин. Кампания напоминает, что даже хорошо известное служебное ПО может быть превращено в оружие, если злоумышленники контролируют источник загрузки.

Что произошло: кампания с поддельным CCleaner

CCleaner — широко используемый инструмент для очистки временных файлов и оптимизации производительности Windows, что делает его привлекательной приманкой для киберпреступников. В данном случае злоумышленники упаковали GhostDesk в установщик, который выглядит как легитимный загрузчик CCleaner. Как только пользователь запускает файл, вредоносное ПО разворачивает расширение Chrome, работающее в фоновом режиме, и даёт атакующему постоянную точку опоры в браузере, а не только в операционной системе.

Ориентируясь непосредственно на браузер, GhostDesk получает доступ к одним из самых конфиденциальных данных, которые человек создаёт в интернете: сеансам входа, хранящимся в файлах cookie, именам пользователей и паролям, сохранённым в браузере, и даже действиям в реальном времени, фиксируемым с помощью кейлоггера и снимков экрана. Такое сочетание позволяет злоумышленнику потенциально полностью обходить поля ввода пароля за счёт перехвата активных сеансов и со временем составлять детальную картину онлайн-поведения жертвы.

Как GhostDesk действует внутри Chrome

Вредоносные браузерные расширения особенно эффективны, поскольку они работают с расширенным доступом ко всему, что пользователь делает в браузере, часто не вызывая таких же тревог, как традиционное вредоносное ПО для настольных компьютеров. После установки GhostDesk не обязательно постоянно связываться с командным сервером, чтобы представлять опасность. Вместо этого он может пассивно собирать данные, пока пользователь просматривает страницы, пользуется банковскими сервисами, совершает покупки или входит в рабочие учётные записи, а затем периодически передаёт эту информацию наружу.

Кража файлов cookie вызывает особую обеспокоенность, поскольку украденный сеансовый cookie может позволить злоумышленнику выдать себя за вошедшего в систему пользователя, вообще не зная его пароль. В сочетании с кейлоггингом и захватом снимков экрана GhostDesk способен перехватывать учётные данные для аккаунтов, где коды многофакторной аутентификации вводятся прямо на веб-странице, поскольку вредоносное ПО может наблюдать за вводом кода, а не перехватывать его отдельно.

Почему браузерные расширения становятся растущей угрозой конфиденциальности

Этот инцидент вписывается в более широкую тенденцию: основным полем битвы за кражу данных становится браузер, а не операционная система. Браузеры теперь хранят пароли, платёжную информацию, историю просмотров и активные сеансы одновременно для десятков сервисов, что делает их очень ценной целью. Расширения, в частности, могут ускользать от поверхностного внимания, потому что пользователи привыкли предоставлять им широкие разрешения для «улучшения» работы в интернете, не всегда проверяя, откуда на самом деле появилось расширение и что оно делает в фоновом режиме.

Случай с поддельным CCleaner также показывает, как злоумышленники продолжают полагаться на названия доверенного программного обеспечения, а не на малоизвестные или незнакомые программы, чтобы повысить вероятность того, что жертва без колебаний скачает и запустит файл. По мере того как распространение повседневного ПО всё чаще происходит через результаты поисковых систем и сторонние сайты загрузок, риск столкнуться с убедительной подделкой растёт. Это часть более масштабной тенденции, когда злоумышленники размещают вредоносные инструменты вокруг легитимных технологических экосистем, подобно тому как государственные субъекты пытались формировать и контролировать доступ к новым технологиям, таким как развитие открытого ИИ, в собственных стратегических целях.

Что это значит для вас

Если вы недавно загрузили CCleaner не с официального сайта производителя, стоит проверить установленные расширения Chrome на наличие чего-либо незнакомого, а также просмотреть диспетчер задач Chrome на предмет процессов, которые вы не узнаёте. Поскольку GhostDesk нацелен на файлы cookie и сохранённые учётные данные, всем, кто подозревает заражение, следует считать пароли, хранящиеся в браузере, и активные сеансы потенциально скомпрометированными, а не только саму операционную систему.

Практический вывод выходит за рамки одной этой кампании. Бесплатное служебное ПО, особенно инструменты, обещающие «ускорить» или «почистить» компьютер, неизменно популярно как маскировка для вредоносных программ, поскольку оно привлекает пользователей, ищущих быстрое решение. Загрузка программного обеспечения только с официальных сайтов производителей, а не из рекламы в поиске или со сторонних сайтов-агрегаторов, остаётся одним из самых простых способов полностью избежать этой категории атак.

Практические выводы

Просмотрите установленные расширения Chrome и удалите всё, что вы не узнаёте или не устанавливали намеренно. Загружайте CCleaner или любое другое служебное ПО только напрямую с официального сайта издателя, а не из результатов поиска или сторонних центров загрузки. Смените пароли к конфиденциальным аккаунтам, если подозреваете, что ваш браузер был скомпрометирован, и рассмотрите возможность использования менеджера паролей, отдельного от встроенного в браузер хранилища. Выполните полное сканирование антивирусом или средством для удаления вредоносных программ на любой машине Windows, где недавняя загрузка показалась подозрительной, и по возможности включите многофакторную аутентификацию через приложение-аутентификатор, а не код, вводимый на экране. Внимательность к тому, как шпионское расширение GhostDesk для Chrome распространяется через поддельные установщики, — одна из самых эффективных мер защиты, доступных обычным пользователям.