Зловредният плъгин пренасочва заявки през външна инфраструктура и създава риск за профилиране на потребители
В Chrome Web Store е открито зловредно разширение, което се представя за Perplexity AI и тайно прихваща трафика от търсенията на потребителите. Разширението, озаглавено „Search for perplexity ai“, използва подвеждащо име и брандинг, за да имитира легитимния AI асистент, като същевременно пренасочва заявките към външна инфраструктура, контролирана от нападателите.
Как работи атаката
Според анализ на Microsoft Threat Intelligence, разширението променя настройките на браузъра чрез механизми като chrome_settings_overrides, като заменя стандартния търсач и пренасочва всички заявки, въведени в адресната лента, през сървъри на атакуващите.
След това потребителите биват връщани към легитимни търсачки, което прави атаката трудна за забелязване. Въпреки това целият поток от търсения преминава през инфраструктура, която позволява наблюдение и събиране на данни в реално време.
Какви данни се събират
Макар да няма доказателства, че разширението краде пароли или директно чувствителни данни, Microsoft посочва, че събраната информация включва:
- търсения в браузъра
- предложения за заявки в реално време
- поведенчески модели на потребителя
Освен това разширението изисква мощни Chrome разрешения, които позволяват пренасочване на трафик, пренаписване на URL адреси и наблюдение на мрежови заявки, което значително надхвърля нормалните функции на AI асистент.
Съмнителна инфраструктура и потенциал за разширяване на атаката
Изследователите отбелязват, че сървърната инфраструктура на разширението съдържа логика за активно записване на данни, което показва, че събирането на информация е целенасочено, а не случайно поведение. Макар в момента да не се наблюдава кражба на пароли, архитектурата позволява лесно разширяване към по-сериозни атаки.
Фалшивото разширение използва домейн, наподобяващ официалния – perplexity-ai[.]online, вместо легитимния perplexity.ai, което допълнително подсилва измамата.
Препоръка за потребителите
Разширението с идентификатор flkebkiofojicogddingbdmcmkpbplcd се препоръчва да бъде незабавно премахнато. Освен това експертите съветват засегнатите потребители да сменят паролите на важните си акаунти като предпазна мярка, тъй като събраните данни могат да бъдат използвани за последващо профилиране или по-сложни атаки.
По-широк контекст
Инцидентът отново показва, че зловредни разширения в браузърите остават един от най-ефективните вектори за киберпрестъпниците. Те често не се нуждаят от директно пробиване на системи, а разчитат на потребителско доверие и маскиране като легитимни инструменти.
