Злонамерена Chrome екстензија што се претставуваше како Perplexity ги пресретнувала пребарувањата и внесот во адресната лента

Microsoft откри злонамерена екстензија за Chrome која се претставувала како AI пребарувачот Perplexity и тивко ги евидентирала пребарувањата на корисниците. Таа го пренасочувала секое пребарување и секој внесен знак во адресната лента преку сервер контролиран од напаѓач, пред корисниците да бидат пренасочени кон вистинските резултати.

Microsoft соопшти дека Google ја отстранил екстензијата од Chrome Web Store по одговорно пријавување на проблемот. Екстензијата се викала „Search for perplexity ai“ (ID: flkebkiofojicogddingbdmcmkpbplcd) и користела домен што многу личел на оригиналниот – perplexity-ai[.]online – за да се претстави како легитимниот сервис perplexity.ai.

Истражувачкиот тим на Microsoft Defender наведува дека целта на екстензијата била да ги пресретнува пребарувањата и да собира податоци. Не биле пронајдени докази за кражба на лозинки, но екстензијата имала многу поширок пристап отколку што е потребно за обична алатка за пребарување.

По инсталирањето, екстензијата се поставувала како стандардниот пребарувач во прелистувачот. Кога корисникот ќе извршел пребарување, барањето најпрво се испраќало до perplexity-ai[.]online, каде што серверот на напаѓачот го евидентирал пребарувањето заедно со HTTP-заглавјата на прелистувачот, IP-адресата и информациите за корисничкиот агент (user agent). Потоа, правилото автоматски го пренасочувало корисникот кон вистински пребарувач – Perplexity, Google или Bing – па резултатите изгледале сосема нормално. Кражбата на податоците се случувала при тој прв чекор, пред пренасочувањето.

Проблемот бил уште посериозен во адресната лента. Екстензијата ја насочувала и функцијата за предлози при пребарување (suggest_url) кон истиот злонамерен домен. Тоа значело дека внесот на корисникот се испраќал до серверот на напаѓачот уште пред да се притисне копчето Enter. Не биле пресретнувани само завршените пребарувања, туку и секој поединечен знак додека корисникот пишувал.

Chrome дозволува екстензии да го менуваат стандардниот пребарувач, а легитимните екстензии понекогаш ја користат таа можност. Сепак, препишувањето и пренасочувањето на целиот сообраќај преку сервер на трета страна е нешто што не треба да го прави обична алатка за пребарување. Оваа екстензија побарала дозволи од семејството declarativeNetRequest токму за таа цел, а на серверската страна користела код што го евидентирал секое барање. Според Microsoft, тоа е јасен доказ дека собирањето на податоците било намерно, а не случајна последица од пренасочувањето.

Екстензијата содржела и оневозможени правила за пренасочување за Google и Bing, што значи дека истата функционалност можела лесно да се активира и за тие пребарувачи. Дополнително, во неа бил оставен простор за подоцнежно извршување на WebAssembly код – нешто за што едноставна алатка за пребарување нема никаква оправдана потреба.

Ова се вклопува во сè почестата појава на злонамерни екстензии кои се кријат зад брендирање поврзано со вештачката интелигенција (AI). Некои го заменуваат стандардниот пребарувач за да го пресретнат она што го внесуваат корисниците, додека други го злоупотребуваат давателот на пребарување или ги собираат разговорите од ChatGPT и DeepSeek. Според претходно истражување на Microsoft, токму овој бран на екстензии што ги присвојуваат AI-разговорите бил поврзан со околу 900.000 инсталации во повеќе од 20.000 корпоративни мрежи.

Разликата во овој случај е целта на нападот: наместо разговорите со AI, мета биле вашите пребарувања и секој знак што го внесувате во адресната лента, при што податоците биле собирани преку легитимниот механизам за екстензии на Chrome.

Ако сте ја инсталирале екстензијата „Search for perplexity ai“, веднаш отстранете ја и проверете дали вашиот стандарден пребарувач не е променет.

За организациите, Microsoft ги препорачува следниве основни мерки:

• Дозволувајте инсталирање само на одобрени екстензии преку поставките на прелистувачот или корпоративните политики.
• Следете за неочекувани промени на поставките за пребарување, сомнителни дозволи што ги бараат екстензиите и мрежен сообраќај кон непознати домени.
• Бидете особено внимателни со алатки што се рекламираат како AI-решенија и секогаш проверувајте ги издавачот и доменот пред да ги инсталирате.

Засега не е познато кој стои зад оваа екстензија, а Microsoft не објави колку корисници ја инсталирале пред да биде отстранета. AI-брендирањето ги привлекло корисниците да ја инсталираат, а можноста за преземање контрола врз пребарувањето овозможила собирање на нивните податоци.

Извори:

• The Hacker News – Malicious Perplexity Chrome Extension Intercepted Searches and Address Bar Input The Hacker News