מתקפת הסייבר הנסתרת בכרום ובאדג' שנותרה פעילה במשך שנים

הרפתקה אוניברסלית » כללי » מתקפת הסייבר הנסתרת בכרום ובאדג' שנותרה פעילה במשך שנים

במשך למעלה משבע שנים, רשת של תוספים זדוניים השתוללה בדפדפנים כמו כרום ואדג' , והתפשטה גם לפיירפוקס ואופרה, מבלי לעורר חשד בקרב מיליוני משתמשים. מה שנתפס זמן רב כסביבה בטוחה יחסית בחנויות התוספים הרשמיות, נחשף כעת כאחד מאירועי האבטחה הוותיקים והנרחבים ביותר שתועדו אי פעם בפלטפורמות אלו.

המבצע, המקושר לקבוצה מאורגנת בשם DarkSpectre , הצליח להכניס כמעט 300 תוספים הונאה לקטלוגים של גוגל כרום, מיקרוסופט אדג', מוזילה פיירפוקס ואופרה . יחד, כלים אלה הותקנו בדפדפנים של כ-8,8 מיליון איש ברחבי העולם, עם השפעה משמעותית באירופה ובמדינות כמו ספרד, שם השימוש בדפדפנים מבוססי כרום דומיננטי הן בבית והן במשרד.

מה שבאמת מדהים במקרה הזה הוא לא רק מספר הקורבנות, אלא יכולתה של ההתקפה להישאר מוסתרת במשך שנים בתוך חנויות הנחשבות אמינות . התוספים נראו כשירותים לא מזיקים, שמרו על התנהגות רגילה למשך תקופות ממושכות, והפעילו את הצד הזדוני שלהם רק לאחר שצברו בסיס משתמשים גדול.

על פי מחקר שפורסם על ידי חברת אבטחת הסייבר Koi.ai , DarkSpectre ביצעה מבצע פלילי מובנה ביותר , עם מספר קמפיינים מקבילים, תשתיות פיקוד ובקרה מבוזרות ושימוש אינטנסיבי בטכניקות הנדסה חברתית כדי לעקוף מסננים אוטומטיים וסקירות ידניות.

מתקפה שקטה על כרום ואדג' דרך חנויות רשמיות

ליבת המתקפה התבססה על תוספים שהוצגו ככלי שימושי יומיומי : חוסמי פרסומות, מתרגמים, מנהלי כרטיסיות, התאמה אישית של דפי כרטיסיות חדשים וכלי עזר לפרודוקטיביות. רבים מהם הופיעו ללא בעיות בחנויות הרשמיות של Chrome ו-Edge, ויצרו תחושת ביטחון בקרב המשתמשים, כולל עובדי חברות אירופאיות ומוסדות ציבור.

התוספים של DarkSpectre הגיעו לחנויות כאילו היו פרויקטים לגיטימיים, עם תיאורים אמינים, לוגואים מלוטשים ודפי מוצר כתובים היטב . אלו שעמדו מאחורי הקמפיין חיזקו את מראית העין הזו של אמינות באמצעות מערכת של ביקורות מזויפות ודירוגים מנופחים, שהציבו אותם בין ההמלצות המוצגות והעניקו להם נראות נוספת על פני חלופות אמינות.

חלק גדול מהטריק היה שבתחילה, התוספים למעשה פעלו כפי שהובטח . הם חסמו פרסומות, תרגמו טקסט, ארגנו כרטיסיות והקלו על משימות מסוימות מבלי לעשות שום דבר חשוד. התנהגות "נקייה" ראשונית זו עזרה לבקרות אבטחה פנימיות וחיצוניות להימנע מגילוי אנומליות כלשהן.

החלק המרכזי הגיע מאוחר יותר: ברגע שתוסף השיג מספר משמעותי של התקנות, התוקפים פרסמו עדכונים שקטים ששינו את הקוד, הרחיבו הרשאות או הפעילו מודולים שהיו מושבתים בעבר. מנקודת מבטו של המשתמש, זה היה רק ​​עוד עדכון שגרתי; מנקודת מבטו של DarkSpectre, הגיע הזמן לעבור למצב התקפה.

בדרך זו, הצליחה הקבוצה לנצל אחת מנקודות התורפה של מודל האמון של חנויות התוספים : ההנחה שכל עדכון הוא שיפור או תיקון באג, ולא תחילתה של פעילות זדונית מתוכננת בקפידה.

שיטות הטעיה: מוניטין כוזב וקוד נסתר

כדי להגדיל את הפעולה, DarkSpectre השתמשה בטכניקות של מוניטין מלאכותי . רבות מההרחבות המעורבות צברו דירוגים גבוהים מאוד וביקורות חיוביות שנוצרו באופן אוטומטי או באופן מתואם, מה שחיזק את התפיסה שמדובר בכלים שנבדקו על ידי אלפי משתמשים מרוצים.

במקביל, הקבוצה תכננה מערכת של עדכונים מדורגים והתנהגות מושהית . במהלך החודשים הראשונים, הקוד הזדוני נותר מוסתר או מושבת, והופעל רק כאשר התקיימו תנאים מסוימים: הגעה למספר מסוים של התקנות, קבלת הוראה משרתי הפיקוד והבקרה, או זיהוי שהמשתמש ביקר בדפי מסחר אלקטרוני מסוימים או ניגש לשירותים רגישים.

בחלק מהתוספים, הרכיב הזדוני לא נכלל ישירות בחבילה הראשונית אלא הורד מאוחר יותר משרתים מרוחקים . גישה מודולרית זו הפחיתה את הסיכוי לזיהוי התוכנה הזדונית בניתוחים סטטיים שבוצעו לפני פרסום תוסף או במהלך סריקות קוד שטחיות.

התשתית הפלילית שילבה גם טכניקות ערפול מתקדמות כדי לסבך את קריאת הקוד ולמנוע מכלי אבטחה אוטומטיים לזהות דפוסים ניתנים לזיהוי. מחרוזות מקוטעות, פונקציות שנראות לא בשימוש וטעינה נדחית היו כולם חלק מאותה מטרה: להפוך את ההתנהגות האמיתית של ההרחבה לאטומה במבט ראשון.

בינתיים, כמה מהתוספים הללו פעלו כסוסי טרויאנים של ממש בדפדפן . לפחות תריסר תוכננו ללכוד פרטי בנק , נתוני מילוי אוטומטי, סיסמאות למדיה חברתית ומידע פרטי אחר. כל התוכן הזה נשלח בזמן אמת לשרתי DarkSpectre באמצעות ערוצים מוצפנים ונתיבי תקשורת שנועדו להשתלב עם תעבורת האינטרנט הרגילה.

שלושה קמפיינים עיקריים: ShadyPanda, GhostPoster ו-Zoom Stealer

החקירה של Koi.ai מזהה שלושה קמפיינים עיקריים בתוך מבצע DarkSpectre , כולם נתמכים על ידי הרחבות דפדפן אך עם מטרות וטכניקות שונות. יחד, הם מסבירים מדוע למתקפת הסייבר על Chrome, Edge ודפדפנים אחרים הייתה השפעה כה רחבה ונשארה פעילה במשך זמן כה רב.

השלב הראשון, שכונה ShadyPanda , כיוון בעיקר למשתמשי דפדפנים מבוססי Chromium, ובמיוחד Chrome ו-Edge, הדפדפנים הנפוצים ביותר באירופה. למעלה ממאה תוספים שנפגעו הדביקו בסופו של דבר כ-5,6 מיליון משתמשים , מה שהופך את הקמפיין הזה לגדול ביותר מבחינת נפח.

הרחבות אלו הוצגו ככלי עבודה יומיומיים: החל ממנהלי טאבים ועד כלי עזר לקניות מקוונות. לאחר שצברו מסה קריטית של התקנות, הן החלו להפעיל פונקציות נסתרות המכוונות להונאות מסחר אלקטרוני ומעקב המוני . תועדו מקרים של מניפולציה של קישורים בפורטלים גדולים של קניות, יירוט טפסי תשלום והפניות חשאיות לדפי שותפים או אתרי פישינג.

הקמפיין הגדול השני, שכונה GhostPoster , כיוון בעיקר למשתמשי Firefox ואופרה, ופגע ביותר ממיליון קורבנות. המאפיין הבולט ביותר שלו היה השימוש הנרחב בסטגנוגרפיה : קוד JavaScript זדוני המוטמע בתמונות PNG שנראות רגילות. לאחר התקנת ההרחבה, קוד זה חולץ והופעל, מה שאפשר הורדה וביצוע של הוראות מרחוק ברמת חמקנות גבוהה בהרבה מזו של התקפות קונבנציונליות.

בתוך GhostPoster, אחת הדוגמאות המדאיגות ביותר הייתה גרסה מניפולטיבית של התוסף הפופולרי "Google Translate" עבור Opera . למרות שהוא עדיין הציע את פונקציית התרגום, הוא כלל iframe נסתר ברקע שפתח דלת אחורית בדפדפן, השבית הגנות מסוימות נגד הונאה ושלח מידע רגיש לשרתים שכבר קשורים לקמפיינים אחרים של DarkSpectre.

הענף השלישי, המכונה Zoom Stealer , ייצג את הקפיצה המכריעה אל תוך ריגול תאגידי בקנה מידה גדול . הוא זוהה בסוף 2025, וניצל את הפריחה המבוססת בשיחות וידאו בסביבות עבודה כדי להכניס לפחות 18 תוספים המכוונים לפלטפורמות כמו Zoom, Microsoft Teams ו-Google Meet, ובמיוחד Chrome ו-Edge. מתקפה זו השפיעה על כ-2,2 מיליון משתמשים, רבים מהם עובדים של חברות אירופאיות ומוסדות ציבוריים.

הרחבות Zoom Stealer שווקו ככלי פרודוקטיביות: סיכומי פגישות אוטומטיים, רשימות משתתפים, קישורי גישה לארגון וניתוח וידאו מהיר. במציאות, הן ביקשו הרשאות רחבות מאוד על פעילות שיחות וידאו ושירותים מקושרים אחרים, מה שאפשר להן ללכוד קישורים פרטיים, אישורים, שמות, תפקידים, תמונות פרופיל ונתונים מקצועיים אחרים של המשתתפים.

כיצד מתקפת הסייבר נותרה פעילה במשך יותר משבע שנים

אחד ההיבטים שמפתיעים ביותר את המומחים הוא משך הפעולה הארוך באופן יוצא דופן . מההתקנות הראשונות שזוהו בשנת 2018 ועד לסגירה ההדרגתית של הקמפיינים בסוף 2025, DarkSpectre התאימה את התשתית והקוד שלה כדי להסתגל לשינויים בדפדפנים ולמדיניות החדשה של חנויות התוספים.

המפתח היה עיצוב מודולרי ומבוזר. רשת שרתי הפיקוד והבקרה השתמשה בתחומים מתחלפים ובשכבות מרובות של תיווך , כך שאם חלק אחד בתשתית נחסם, אחרים המשיכו לפעול. חלק מההרחבות התקשרו עם השרתים רק בזמנים ספציפיים מאוד או בתנאי שימוש מסוימים, ובכך מזערו את ה"רעש" שניתן לזהות על ידי כלי אבטחה.

יתר על כן, חלק ניכר מהלוגיקה הזדונית נטען בצורה מושהית: במקום לכלול את כל התוכנות הזדוניות בחבילה המקורית, חלק מהקוד הורד ברקע ימים או שבועות לאחר ההתקנה . במקרים אחרים, פעילות זדונית הופעלה רק עבור אחוז קטן מהמשתמשים או לאחר פרק זמן מסוים, מה שהקשה ביותר על שחזור ההתנהגות בסביבות ניתוח.

גם DarkSpectre נהנתה מתגובת האבטחה המקוטעת . בעוד שכמה וריאנטים זוהו בדפדפן או באזור ספציפיים והוסרו מהקטלוג, אחרים נותרו פעילות תחת שמות שונים במקצת, עם שינויים קלים בקוד, או הופצו דרך חנויות אפליקציות אחרות. מוטציה מתמדת זו אפשרה לקמפיין לשרוד התקפות מבודדות מבלי לפגוע במבנה הכללי שלו.

חוסר המודעות הנרחב לסיכונים האמיתיים של הרחבות דפדפן שיחק לידי התוקפים. משתמשים רבים, אישיים ומקצועיים כאחד, מעניקים הרשאות רחבות לתוספים שהם בקושי מבינים , ומאפשרים גישה לכל התוכן המוצג בדפדפן, להיסטוריית הגלישה ולנתונים המאוחסנים בשירותים מחוברים. בידי קבוצה כמו DarkSpectre, הרשאות אלו הופכות לשער ישיר לכל חייו הדיגיטליים של המשתמש.

השפעה על משתמשים וחברות בספרד ובאירופה

ההשפעה המצטברת של קמפיינים אלה הייתה משמעותית, במיוחד באזורים עם חדירה גבוהה של Chrome ו-Edge, כמו ספרד ושאר אירופה . מיליוני אנשים נחשפו למעקב שקט, גניבת נתונים אישיים והונאה פיננסית , לעתים קרובות מבלי לקשר את הבעיות הללו להתקנת תוסף שנראה תמים לפני חודשים או שנים.

בעולם התאגידי, ההשלכות היו חמורות אף יותר. השילוב של ShadyPanda ו-Zoom Stealer פתח את הדלת הן להונאה ישירה בעסקאות עסקיות והן לגישה בלתי מורשית לפגישות סודיות . דוחות פנימיים, מצגות פרויקטים, הסכמי לקוחות, אסטרטגיות תמחור ושיחות עם הנהלה בכירה עלולים להישאר בהישג ידם של תוקפים לפרקי זמן ממושכים.

עבור ארגונים אירופאים, הכפופים לתקנות מחמירות כמו תקנת הגנת המידע הכללית (GDPR) , אירועים מסוג זה מציבים אתגרים נוספים. הם כרוכים לא רק בדליפות פוטנציאליות של נתונים אישיים של עובדים ולקוחות, אלא גם בחשיפת סודות מסחריים ומידע אסטרטגי שיכולים להשפיע על התחרותיות של מגזרים שלמים.

קשה במיוחד לכמת את ההשפעה משום שרבות מההרחבות הללו הותקנו על ציוד עבודה מרחוק, מחשבים אישיים ומכשירים המשמשים בסביבות היברידיות . במילים אחרות, אותו דפדפן שימש הן למשימות ביתיות והן למשימות עבודה, מה שטשטש את הגבול בין נתונים פרטיים לנתונים ארגוניים ומסבך חקירות עוקבות.

מקרה DarkSpectre פתח מחדש את הוויכוח באירופה בנוגע לאחריותן של ספקיות הדפדפנים הגדולות והחנויות הרשמיות שלהן . למרות שלכרום, אדג' ופלטפורמות אחרות יש מנגנוני בדיקה, היקף ומשכה של מתקפה זו הוכיחו כי המסננים הנוכחיים לא הספיקו כדי לעצור פעולה כה מתוכננת וארוכת טווח.

המלצות למשתמשי Chrome ו-Edge

בעקבות פרסום המחקר, מומחי אבטחה ממליצים למשתמשים ולחברות לבדוק היטב את התוספים המותקנים בדפדפנים שלהם , תוך מתן תשומת לב מיוחדת ל-Chrome ו-Edge, שם התרכז חלק גדול מהמתקפה בשל נתח השוק הגבוה שלהם.

כצעד ראשון, מומלץ לבצע ביקורת ידנית של כל התוספים : להסיר כל הרחבה שאינה בשימוש קבוע, אינה מזוהית או שמקורה אינו ברור. בסביבות ארגוניות, הגישה האידיאלית היא ליישם רשימה לבנה של הרחבות מורשות ולחסום את התקנת הכלים החדשים ללא אישור מפורש של מחלקת ה-IT.

כמו כן, חשוב מאוד לעדכן את הדפדפן לגרסה העדכנית ביותר . מפתחי Chrome, Edge ודפדפנים אחרים שילבו תיקונים ספציפיים ושיפורי אבטחה כדי לעצור שרשראות תקיפה דומות לאלו של DarkSpectre, כך שהמשך שימוש בגרסאות מיושנות באופן מיותר מגדיל את הסיכון.

אם אתם חושדים שהשתמשתם בתוסף שנפרץ בשנים האחרונות, מומחים ממליצים לסובב את הסיסמאות שלכם באופן יזום , לתת עדיפות לחשבונות דוא"ל, בנקאות מקוונת, מדיה חברתית ושירותים מקצועיים קריטיים. הפעלת אימות דו-שלבי (2FA) במידת האפשר מוסיפה שכבת הגנה נוספת, גם אם האישורים שלכם נפגעו בעבר.

הן ברמה הביתית והן ברמה העסקית, חיוני לחזק את תוכניות ההדרכה והמודעות בתחום אבטחת הסייבר . לימוד זהירות מתוספים "פלאיים" עם דירוגים מושלמים, סקירה מדוקדקת של ההרשאות שהן מבקשות והימנעות מהתקנת כלים מיותרים יכולים לעשות את ההבדל בין שמירה על שליטה במידע שלכם לבין פתיחת הדלת לפעולות כמו של DarkSpectre.

כל מה שלמדנו על מתקפת הסייבר הממושכת הזו על Chrome, Edge ודפדפנים אחרים מבהיר שאבטחה דיגיטלית אינה תלויה אך ורק במחסומים טכניים אדירים או במערכות גילוי מתוחכמות, אלא גם בהחלטות שנראות שגרתיות שמתקבלות מול המסך. לחיצה פשוטה להתקנת תוסף, עדכון שמתקבל מבלי לקרוא, או הרשאות שניתנו בחיפזון, יכולים, עם הזמן, להפוך לשער לקמפיינים של ריגול, הונאה וגניבת נתונים שיכולים להישאר בלתי מזוהים במשך שנים.