Если вы пользуетесь браузером, отличным от того, что по умолчанию предлагает операционная система, то, скорее всего, знаете о расширениях для него или даже пользуетесь парочкой. А если читаете нас постоянно, то в курсе, что некоторые из них опасны, и при их установке следует пользоваться исключительно официальными каталогами.
Проблема в том, что вредоносное дополнение может быть установлено без ведома пользователя и даже без каких-либо действий (ну, почти) с его стороны.
Как троян Razy устанавливает вредоносные расширения
Ответственность за это может взять на себя троян Razy, который дооснащает собственными плагинами Google Chrome, Mozilla Firefox и «Яндекс.Браузер» (все для Windows). Если отбросить технические подробности (за ними можно зайти на securelist.ru), зловред отключает проверку устанавливаемых расширений, на всякий случай запрещает браузеру обновляться, а затем приступает к установке вредоносных аддонов: Firefox получает расширение Firefox Protection, а «Яндекс.Браузер» — Yandex Protect.
Если названия и способны ввести в заблуждения, то их внезапное появление может насторожить. И в этом плане сценарий для Google Chrome наиболее опасен: Razy может заражать системное расширение Chrome Media Router, которое не отображается в общем списке модулей браузера, и выявить его без защитного ПО можно лишь по косвенным признакам.
Что происходит после заражения
Все происходящее — классический пример атаки «человек в браузере»: вредоносные расширения начинают менять содержимое сайтов так, как этого желает их создатель. В случае с трояном Razy больше всего неприятностей ждет владельцев криптокошельков: расширение добавляет на страницы криптовалютных бирж баннеры с «выгодными» предложениями о покупке или продаже «крипты», купившись на которые, пользователь лишь пополнит карман мошенников.
Помимо этого, дополнение отслеживает, что пользователь ищет в Google или «Яндекс», и если поисковый запрос связан с криптовалютами, на страницу результатов поиска внедряются ссылки на фишинговые сайты.
Результат работы Razy: первые пять ссылок в поисковой выдаче добавлены вредоносным расширением и ведут на фишинговые ресурсы
Еще один способ «перераспределения» монет заключается в замене всех адресов (или QR-кодов) кошельков, которые присутствуют в открытой странице, на адреса кошельков злоумышленников.
Также пользователя зараженного браузера будут преследовать баннеры (например, во «Вконтакте») с разнообразными «щедрыми» предложениями вида «вложи чуть-чуть сейчас, заработай миллион потом», «заработай, пройдя опрос» и так далее. Вишенка на торте — отображение на страницах «Википедии» поддельного баннера с просьбой поддержать проект.
Как защититься от трояна Razy
Поскольку Razy распространяется под видом полезного софта с помощью партнерских программ и скачивается с различных бесплатных файловых хостингов, рекомендации по защите от этой заразы довольно стандартны:
- Скачивайте приложения только с сайтов разработчиков и каталогов, которым доверяете.
- Любая подозрительная активность на компьютере (например, появление незнакомых программ-оптимизаторов) может означать, что вы «приняли участие» в «партнерке», и служит поводом для немедленной проверки компьютера.
- Не оставляйте без внимания внезапно появившиеся плагины для браузера.
- Используйте надежный антивирус.