Tiện ích mở rộng trình duyệt 'Truy cập nhanh vào ChatGPT'
Phân tích đã tiết lộ rằng một tiện ích mở rộng trình duyệt Chrome giả mạo có tên 'Truy cập nhanh vào ChatGPT' đã được kẻ đe dọa sử dụng để xâm phạm hàng nghìn tài khoản Facebook, bao gồm cả tài khoản doanh nghiệp. Tiện ích mở rộng này trước đây đã có trên Cửa hàng Chrome chính thức của Google. Tiện ích mở rộng này tuyên bố sẽ cung cấp cho người dùng một cách thuận tiện để tương tác với chatbot AI phổ biến ChatGPT. Tuy nhiên, trên thực tế, nó được thiết kế để thu thập nhiều loại thông tin từ trình duyệt của nạn nhân và đánh cắp cookie của tất cả các phiên hoạt động được phép. Tiện ích mở rộng cũng đã cài đặt một cửa hậu cấp cho tác giả phần mềm độc hại quyền siêu quản trị đối với tài khoản Facebook của người dùng. Chi tiết về phần mở rộng độc hại đã được công bố trong một báo cáo của các nhà nghiên cứu tại Guardio Labs.
Việc sử dụng tiện ích mở rộng trình duyệt 'Truy cập nhanh vào ChatGPT' chỉ là một ví dụ về cách những kẻ đe dọa đã cố gắng khai thác sự quan tâm rộng rãi đối với ChatGPT để phát tán phần mềm độc hại và xâm nhập vào hệ thống. Kẻ đe dọa đằng sau tiện ích mở rộng giả mạo đã sử dụng các chiến thuật tinh vi để đánh lừa người dùng cài đặt tiện ích mở rộng, điều này cho thấy người dùng cần phải cảnh giác khi tải xuống tiện ích mở rộng trình duyệt và phần mềm khác từ internet.
Tiện ích mở rộng trình duyệt 'Truy cập nhanh vào ChatGPT' thu thập thông tin nhạy cảm của Facebook
Tiện ích mở rộng trình duyệt 'Truy cập nhanh vào ChatGPT' độc hại đã cung cấp quyền truy cập vào chatbot ChatGPT bằng cách kết nối với API của nó, như đã hứa. Tuy nhiên, tiện ích mở rộng cũng đã thu thập một danh sách đầy đủ các cookie được lưu trữ trong trình duyệt của người dùng, bao gồm mã thông báo bảo mật và phiên cho các dịch vụ khác nhau như Google, Twitter và YouTube cũng như bất kỳ dịch vụ đang hoạt động nào khác.
Trong trường hợp người dùng có phiên xác thực đang hoạt động trên Facebook, tiện ích mở rộng đã truy cập API Đồ thị dành cho nhà phát triển, cho phép tiện ích này thu thập tất cả dữ liệu được liên kết với tài khoản Facebook của người dùng. Đáng báo động hơn nữa, một thành phần trong mã mở rộng đã cho phép kẻ đe dọa chiếm đoạt tài khoản Facebook của người dùng bằng cách đăng ký một ứng dụng giả mạo trên tài khoản của nạn nhân và yêu cầu Facebook chấp thuận.
Bằng cách đăng ký một ứng dụng trên tài khoản của người dùng, kẻ đe dọa đã có được chế độ quản trị đầy đủ trên tài khoản Facebook của nạn nhân mà không cần phải thu thập mật khẩu hoặc cố gắng vượt qua xác thực hai yếu tố của Facebook. Nếu tiện ích gặp phải tài khoản Facebook dành cho doanh nghiệp, tiện ích sẽ thu thập tất cả thông tin liên quan đến tài khoản đó, bao gồm các chương trình khuyến mãi hiện đang hoạt động, số dư tín dụng, đơn vị tiền tệ, ngưỡng thanh toán tối thiểu và liệu tài khoản có cơ sở tín dụng được liên kết với nó hay không. Sau đó, tiện ích mở rộng sẽ kiểm tra tất cả dữ liệu đã thu thập, chuẩn bị và gửi lại cho máy chủ Command-and-Control (C2, C&C) bằng lệnh gọi API dựa trên mức độ liên quan và loại dữ liệu.
Những phát hiện này nhấn mạnh rằng người dùng internet cần phải thận trọng khi cài đặt các tiện ích mở rộng của trình duyệt, đặc biệt là những tiện ích hứa hẹn truy cập nhanh vào các dịch vụ phổ biến. Họ cũng nên thường xuyên xem lại danh sách các tiện ích mở rộng đã cài đặt và xóa bất kỳ tiện ích mở rộng nào không còn cần thiết hoặc có hành vi đáng ngờ.
Các tác nhân đe dọa có thể tìm cách bán thông tin đã thu thập
Theo các nhà nghiên cứu, tác nhân đe dọa đằng sau tiện ích mở rộng trình duyệt 'Truy cập nhanh vào ChatGPT' có khả năng bán thông tin mà nó thu thập được từ chiến dịch cho người trả giá cao nhất. Ngoài ra, tội phạm mạng có thể cố gắng sử dụng các tài khoản Facebook Business bị chiếm đoạt để tạo ra một đội quân bot, sau đó chúng có thể sử dụng đội quân này để đăng quảng cáo độc hại bằng tài khoản của nạn nhân.
Phần mềm độc hại được trang bị các cơ chế để vượt qua các biện pháp bảo mật của Facebook khi xử lý các yêu cầu truy cập vào các API của nó. Ví dụ: trước khi cấp quyền truy cập thông qua API Meta Graph, Facebook trước tiên xác minh rằng yêu cầu đến từ người dùng được xác thực và nguồn gốc đáng tin cậy. Để phá vỡ biện pháp phòng ngừa này, tác nhân đe dọa đã đưa mã vào tiện ích mở rộng trình duyệt độc hại để đảm bảo rằng tất cả các yêu cầu tới trang web Facebook từ trình duyệt của nạn nhân đều có tiêu đề được sửa đổi, vì vậy chúng dường như cũng bắt nguồn từ trình duyệt của nạn nhân.
Điều này mang lại cho tiện ích mở rộng khả năng tự do duyệt bất kỳ trang Facebook nào, bao gồm thực hiện lệnh gọi và hành động API, sử dụng trình duyệt bị nhiễm và không để lại bất kỳ dấu vết nào. Sự dễ dàng mà tiện ích mở rộng có thể phá vỡ các biện pháp bảo mật của Facebook nhấn mạnh nhu cầu đối với các nền tảng trực tuyến phải thận trọng trong việc phát hiện và ngăn chặn hoạt động độc hại như vậy. Tiện ích mở rộng trình duyệt 'Truy cập nhanh vào ChatGPT' độc hại đã bị Google xóa khỏi cửa hàng Chrome.
