Вредоносное ПО ModHeader: Google удаляет расширение с 1,6 млн установок

Обнаружение вредоносного ПО ModHeader привело к удалению из Chrome и Edge

Расширение для браузера, которому доверяли более 1,6 миллиона пользователей, было удалено из Chrome Web Store и Microsoft Edge Add-ons после того, как исследователи безопасности обнаружили, что в него было незаметно встроено шпионское ПО. ModHeader — популярный инструмент, используемый разработчиками для редактирования заголовков HTTP-запросов и ответов, — был отмечен Google как вредоносное ПО в версии 7.0.18. Microsoft последовала его примеру, удалив расширение из Edge 3 июля. Это открытие, подробно описанное в обратном инженерном анализе исследователей, изучивших код расширения, показывает, как легитимный, давно заслуживающий доверия инструмент может быть превращён в скрытый механизм сбора данных, оставаясь незамеченным большинством пользователей.

Это не был случай явно поддельного расширения, обманом заставляющего людей установить его. ModHeader имел многолетнюю историю, большую базу установок и реальное применение для веб-разработчиков и тестировщиков, которым требовалось изменять заголовки в целях тестирования. Именно эта легитимность и сделала скрытый код внутри версии 7.0.18 настолько тревожным.

Что обнаружил анализ внутри кода

Согласно анализу, вредоносная функциональность не была активна по умолчанию. Вместо этого исследователи обнаружили то, что описывается как «спящий сборщик» — скрытый модуль, предназначенный для шифрования и загрузки списка посещённых доменов, способный отслеживать до 1000 сайтов в каждом заражённом браузере. Вместо того чтобы активироваться сразу после установки, код оставался неактивным, ожидая условия-триггера, прежде чем начать сбор данных о просмотре и их отправку в зашифрованном виде.

Такое бездействие — заметный выбор в дизайне. Вредоносное ПО, которое ведёт себя тихо, сложнее обнаружить автоматическим сканерам магазинов, труднее заметить при поверхностном рецензировании кода и пользователю сложнее заподозрить что-то по поведению браузера. Это также указывает на уровень преднамеренного планирования, а не на небрежную ошибку. Скрытый код, как сообщается, принял форму замаскированного SDK, встроенного в, в остальном, обычное, работающее расширение, что означает, что ModHeader продолжал функционировать в точности как заявлено для редактирования заголовков, в то время как шпионский компонент оставался незаметным, зашифрованным и невидимым.

Почему инструмент разработчика, пользующийся доверием, является ценной целью

Расширения, подобные ModHeader, являются привлекательными целями именно из-за того, кто их использует. Редакторы заголовков распространены среди разработчиков, инженеров по обеспечению качества и технически подкованных пользователей — людей, которые часто имеют повышенные разрешения, доступ к внутренним инструментам или модели просмотра, связанные с корпоративными средами и средами разработки. Инструмент сбора доменов, встроенный в широко установленную утилиту для разработчиков, может незаметно составить картину внутренних инструментов, тестовых сред и сторонних сервисов, на которые полагается организация, и всё это без срабатывания типичных антивирусных сигнатур или оповещений на конечных точках, поскольку само расширение было подписано, распространялось через официальные магазины и имело длительную историю легитимного использования.

Этот случай также подчеркивает структурное слабое место в механизме доверия к браузерным расширениям. Chrome и Edge полагаются на сочетание автоматической проверки и сигналов репутации при одобрении обновлений расширений. Расширение с 1,6 миллиона установок и многолетней чистой историей обладает неявным показателем доверия, который новые обновления могут незаметно использовать, особенно когда вредоносная функциональность зашифрована и неактивна, а не сразу заметна.

Что это значит для вас

Если у вас установлен ModHeader, особенно версия 7.0.18, самый прямой шаг — удалить его из браузера и очистить связанное хранилище браузера, так как спящий код мог уже присутствовать, даже если он ещё не активировался. Помимо этого конкретного расширения, более широкий урок касается гигиены расширений в целом. Браузерные расширения работают со значительным доступом к тому, что вы просматриваете, и популярность или долгая история установок не гарантируют постоянную безопасность, поскольку любое расширение может быть обновлено с новым кодом в любое время.

Несколько привычек снижают подверженность такому риску. Периодически проверяйте установленные расширения и удаляйте те, которыми вы больше активно не пользуетесь. Обращайте внимание на изменения разрешений после обновлений, так как редактор заголовков, запрашивающий широкий новый доступ, заслуживает пристального внимания. Отдавайте предпочтение расширениям, которые активно поддерживаются и, по возможности, имеют открытый исходный код, чтобы изменения кода были видны сторонним проверяющим, а не скрыты внутри скомпилированного или обфусцированного пакета.

Ключевые выводы

Случай с вредоносным ПО ModHeader служит напоминанием о том, что доверие к браузерным расширениям нужно рассматривать как постоянное, а не разовое. Расширение может быть безопасным годами, а затем незаметно измениться. Если вы используете ModHeader, удалите его и проверьте наличие конкретной помеченной версии. В более широком плане пересмотрите свои установленные расширения сейчас, удалите всё ненужное и следите за официальными уведомлениями магазинов от Google и Microsoft, поскольку обе компании действовали быстро, как только скрытый шпионский компонент был обнаружен. Быть в курсе таких удалений — один из самых простых способов сохранить свой браузер и свои данные под собственным контролем.