સંશોધકોએ શોધ્યું કે ક્રોમ એક્સ્ટેંશન ડેવલપર્સને લક્ષ્ય બનાવતા મોટા સપ્લાય-ચેઈન હુમલા ડઝનેક સાથે ચેડા કરવામાં આવ્યા છે, જેના પરિણામે સંભવતઃ લાખો પીડિત વપરાશકર્તાઓ સંશોધકોએ વપરાશકર્તાઓને અમુક એક્સ્ટેંશનને પેચ કરવા અથવા અનઇન્સ્ટોલ કરવા વિનંતી કરી છે.
હેકર્સે ડઝનેક કાયદેસર Google Chrome એક્સ્ટેંશન સાથે સમાધાન કરવામાં વ્યવસ્થાપિત કરી છે જે અત્યંત અત્યાધુનિક સપ્લાય ચેઇન એટેક હોવાનું જણાય છે.
પરિણામે, લાખો બ્રાઉઝર વપરાશકર્તાઓ ડેટા ચોરી, ઓળખની ચોરી, વાયર છેતરપિંડી અને વધુના જોખમમાં છે, સેકોઇયાના સાયબર સુરક્ષા સંશોધકોએ જણાવ્યું છે.
સંશોધકોએ કહ્યું કે હુમલો ખૂબ જ વિશ્વાસપાત્ર ફિશિંગ હુમલાથી શરૂ થાય છે, જેમાં ધમકી આપનારાઓએ ગૂગલ ક્રોમ વેબ સ્ટોર સપોર્ટનો ઢોંગ કર્યો હતો. તેઓએ ક્રોમ એક્સ્ટેંશન ડેવલપર્સને ઈમેલ મોકલ્યા, તેમને સ્ટોર નીતિઓનું ઉલ્લંઘન કરવા વિશે ચેતવણી આપી અને જ્યાં સુધી તેઓ “તેમની ગોપનીયતા નીતિ વિસ્તૃત” ન કરે ત્યાં સુધી તેઓનું કાર્ય સ્ટોરમાંથી દૂર કરવામાં આવ્યું. દેખીતી રીતે, ઇમેઇલ એક લિંક સાથે આવ્યો હતો, જે દૂષિત એપ્લિકેશન માટે બનાવેલ કાયદેસર Google OAuth અધિકૃતતા પૃષ્ઠ તરફ દોરી જાય છે
ફેસબુક બિઝનેસ અને અન્ય લક્ષ્યો
પીડિત જેઓ લૉગ ઇન કરશે તેઓ વાસ્તવમાં હુમલાખોરો સાથે તેમના લૉગિન ઓળખપત્રો શેર કરશે, જેઓ તેમના કાર્યને ઝેર આપવા અને એક્સટેન્શન સાથે સમાધાન કરવા માટે ઍક્સેસનો ઉપયોગ કરશે.
સેકોઇઆ કહે છે કે ધમકી આપનારા કલાકારો ફેસબુક બિઝનેસ એકાઉન્ટ્સ, API કી, સેશન કૂકીઝ, એક્સેસ ટોકન્સ, એકાઉન્ટની માહિતી અને એડ એકાઉન્ટની વિગતોની પાછળ જતા હતા. કેટલાક કિસ્સાઓમાં, તે ઉમેરવામાં આવ્યું હતું, બદમાશો ChatGPT API કી અને વપરાશકર્તા પ્રમાણીકરણ ડેટાની પણ પાછળ જતા હતા.
ટીમે અગાઉની પ્રવૃત્તિની શક્યતા સાથે ઓછામાં ઓછા માર્ચ 2024 સુધીના અભિયાનને શોધી કાઢ્યું હતું.
લક્ષ્યાંકિત કરાયેલા કેટલાક વધુ લોકપ્રિય એક્સ્ટેન્શન્સમાં GraphQL નેટવર્ક ઇન્સ્પેક્ટર, પ્રોક્સી સ્વિચીઓમેગા (V3), YesCaptcha આસિસ્ટન્ટ, Castorus અને VidHelper – વિડિઓ ડાઉનલોડ હેલ્પરનો સમાવેશ થાય છે. હુમલો કરાયેલ એક્સ્ટેંશનની સંપૂર્ણ સૂચિ પર મળી શકે છે આ લિંક.
અસરગ્રસ્ત વ્યક્તિઓની સંખ્યા સેંકડો હજારો અથવા તો લાખોમાં માપવામાં આવે છે, અને મોટે ભાગે આ પ્લગિન્સના ડાઉનલોડ્સની સંખ્યાની આસપાસ ફરે છે. ક્રોમ વેબ સ્ટોરમાંથી મોટાભાગના ઝેરી ઉકેલો પહેલેથી જ ખેંચી લેવામાં આવ્યા છે. જો કે, વપરાશકર્તાઓને હજુ પણ સલાહ આપવામાં આવે છે કે તેઓ 26 ડિસેમ્બર, 2024 પછી રિલીઝ થયેલા વર્ઝનમાં અસરગ્રસ્ત એક્સ્ટેંશનને દૂર કરે અથવા અપડેટ કરે અને ખાસ કરીને Facebook અને ChatGPT માટે મહત્વપૂર્ણ એકાઉન્ટ પાસવર્ડ રીસેટ કરે.
વાયા આ રજીસ્ટર