QuickLens - Ecran de căutare cu extensie rău intenționată Google Lens

Extensia de browser QuickLens - Search Screen with Google Lens a fost inițial promovată ca un instrument convenabil pentru căutarea de imagini pe ecran, traducerea conținutului și recuperarea informațiilor despre produse prin intermediul unor interogări vizuale. În ciuda aspectului și funcționalității sale legitime, extensia a evoluat în cele din urmă într-o amenințare gravă la adresa securității cibernetice. Investigațiile au dezvăluit că software-ul conținea scripturi rău intenționate capabile să colecteze informații sensibile și să lanseze atacuri de inginerie socială ClickFix asupra sistemelor infectate.

Inițial, extensia avea o bază mare de utilizatori și se bucura de încredere pe scară largă. Cu toate acestea, o schimbare critică a avut loc în februarie 2026, când extensia a fost vândută pe o piață de extensii de browser și preluată de un nou proprietar care opera sub adresa de e-mail „support@doodlebuggle.top” și numele companiei LLC Quick Lens. La scurt timp după achiziție, a fost introdusă o politică de confidențialitate suspectă, urmată de lansarea unei actualizări rău intenționate distribuite tuturor utilizatorilor.

Actualizare rău intenționată livrată prin canale oficiale

Deoarece extensia fusese deja instalată de mii de utilizatori, actualizarea rău intenționată s-a răspândit rapid. Mecanismul de actualizare automată al Magazinului Web Chrome a livrat versiunea compromisă direct către instalările existente, fără a fi necesară interacțiunea suplimentară a utilizatorului.

Versiunea actualizată a solicitat permisiuni extinse de browser care îi permiteau să monitorizeze comportamentul de navigare și să modifice activitatea site-ului web. Aceste permisiuni au permis extensiei să elimine protecțiile de securitate critice aplicate în mod normal de site-urile web. Mecanismele de siguranță concepute pentru a bloca scripturile rău intenționate, a preveni încadrarea site-urilor și a atenua anumite tehnici de atac au fost dezactivate, facilitând semnificativ executarea codului rău intenționat injectat pe orice pagină vizitată de victimă.

Comunicare persistentă cu infrastructura de comandă și control

După instalare, extensia compromisă a stabilit comunicarea cu un server de comandă și control (C2) la distanță. Programul malware a generat un identificator unic pentru fiecare utilizator infectat și a colectat informații de mediu, cum ar fi locația geografică, tipul de browser și sistemul de operare.

Extensia a menținut comunicarea persistentă cu serverul la distanță prin trimiterea de solicitări la fiecare cinci minute. Aceste verificări regulate le-au permis atacatorilor să livreze noi instrucțiuni, să actualizeze sarcini utile malițioase sau să inițieze acțiuni de atac suplimentare asupra sistemelor compromise.

ClickFix Alerte de inginerie socială și actualizări false

Versiunea malițioasă a QuickLens implementa și tehnici agresive de inginerie socială. Avea capacitatea de a injecta scripturi în orice pagină web vizitată de victimă, permițându-i să afișeze notificări frauduloase Google Update.

Aceste alerte înșelătoare au fost concepute pentru a imita solicitări legitime de actualizare a software-ului. În realitate, ele au făcut parte dintr-un atac de tip ClickFix, o tehnică care manipulează utilizatorii pentru a executa comenzi dăunătoare sau a descărca programe malware suplimentare. Prin prezentarea alertelor pe mai multe site-uri web, atacatorii au crescut probabilitatea ca victimele să aibă încredere în solicitare și să urmeze instrucțiunile rău intenționate.

Portofel de criptomonede și capacități de furt de date

Una dintre cele mai periculoase funcții ale extensiei compromise a implicat direcționarea activelor criptomonede și a datelor sensibile ale utilizatorilor. Scripturile malițioase încorporate au scanat browserele pentru a găsi portofele criptomonede instalate și au încercat să extragă informații confidențiale, cum ar fi fraze de pornire din portofel, credențiale de autentificare și date sensibile ale formularelor.

Malware-ul a vizat în mod specific următoarele platforme de portofele de criptomonede:

• Argon
• Rucsac
• Portofelul Binance Chain
• Portofel curajos
• Portofel Coinbase
• Exod
• MetaMask
• Fantomă
• Solflare
• Portofel de încredere
• PortofelConnect

Dincolo de furtul de criptomonede, extensia a fost capabilă să colecteze o gamă largă de date sensibile introduse pe site-uri web. Acestea includeau credențiale de conectare, informații de plată și alte date personale transmise prin formulare web.

Acces la conturi online și platforme de afaceri

Analize ulterioare au relevat că extensia rău intenționată putea accesa și extrage informații de pe mai multe platforme online utilizate pe scară largă. Aceste capacități au extins potențialele daune dincolo de utilizatorii individuali, la companii și creatori de conținut.

Capacitățile de colectare a datelor au inclus:

• Citirea datelor de e-mail din căsuțele poștale Gmail
• Colectarea informațiilor despre contul de publicitate de la Facebook Business Manager
• Preluarea datelor analitice și operaționale de pe canalele YouTube

Această funcționalitate a creat riscuri semnificative pentru organizațiile care gestionau campanii de marketing, conturi financiare sau platforme media online prin intermediul browserelor afectate.

Eliminarea extensiei și implicațiile de securitate

În urma descoperirii activității rău intenționate, Google a eliminat și dezactivat extensia QuickLens - Search Screen with Google Lens din Magazinul web Chrome. În ciuda acestei acțiuni, sistemele care au instalat anterior extensia pot rămâne în pericol dacă software-ul este încă prezent.

Utilizatorii afectați ar trebui să dezinstaleze imediat extensia și să își verifice sistemele pentru a depista eventuale compromisuri. Se recomandă insistent modificările acreditărilor, verificările de securitate ale portofelului portabil și scanările sistemului.

Incidentul QuickLens evidențiază riscurile de securitate tot mai mari asociate cu extensiile de browser. Chiar și software-ul care inițial este un instrument legitim poate deveni o amenințare atunci când proprietarul se schimbă și actualizările rău intenționate sunt distribuite prin canale oficiale de actualizare. Acest caz demonstrează cum aplicațiile de încredere pot fi folosite ca arme pentru a ocoli controalele de securitate, a fura date sensibile și a efectua atacuri de inginerie socială la scară largă.