Hai tiện ích mở rộng của Google Chrome đã trở thành mã độc sau một vụ chuyển nhượng quyền sở hữu, tạo cơ hội cho kẻ tấn công đẩy phần mềm độc hại đến người dùng, tiêm mã tùy ý và thu thập dữ liệu nhạy cảm.
Các tiện ích mở rộng được đề cập, ban đầu đều liên quan đến nhà phát triển tên "[email protected]" (BuildMelon), bao gồm:
- QuickLens - Search Screen with Google Lens (ID: kdenlnncndfnhkognokgfpabgkgehodd) - 7.000 người dùng
- ShotBird - Scrolling Screenshots, Tweet Images & Editor (ID: gengfhhkjekmlejbhmmopegofnoifnjp) - 800 người dùng
Trong khi QuickLens hiện không còn khả dụng để tải xuống từ Chrome Web Store, ShotBird vẫn có thể truy cập được tại thời điểm viết bài. ShotBird được ra mắt lần đầu vào tháng 11 năm 2024, với nhà phát triển Akshay Anu S (@AkshayAnuOnline), tuyên bố trên X rằng tiện ích mở rộng này phù hợp để "tạo ra các hình ảnh chuyên nghiệp, giống studio," và tất cả quá trình xử lý diễn ra cục bộ.
Theo nghiên cứu được công bố bởi monxresearch-sec, tiện ích bổ sung trình duyệt này đã nhận được huy hiệu "Featured" vào tháng 1 năm 2025, trước khi nó được chuyển giao cho một nhà phát triển khác ("[email protected]") vào tháng trước.
Tương tự, QuickLens đã được rao bán trên ExtensionHub vào ngày 11 tháng 10 năm 2025, bởi "[email protected]" chỉ hai ngày sau khi nó được xuất bản, John Tuckner của Annex Security cho biết. Vào ngày 1 tháng 2 năm 2026, chủ sở hữu của tiện ích mở rộng này đã đổi thành "[email protected]" trên trang danh sách của Chrome Web Store.
Cập nhật độc hại và cơ chế hoạt động
Bản cập nhật độc hại được đưa vào QuickLens vào ngày 17 tháng 2 năm 2026, vẫn giữ chức năng ban đầu nhưng bổ sung khả năng loại bỏ các HTTP security headers (ví dụ: X-Frame-Options) khỏi mọi phản hồi HTTP, cho phép các script độc hại được tiêm vào trang web thực hiện các yêu cầu tùy ý đến các domain khác, bỏ qua các biện pháp bảo vệ Content Security Policy (CSP).
Ngoài ra, tiện ích mở rộng này còn chứa mã để fingerprint quốc gia của người dùng, phát hiện trình duyệt và hệ điều hành, đồng thời thăm dò một máy chủ bên ngoài cứ sau năm phút để nhận JavaScript, được lưu trữ trong local storage của trình duyệt và thực thi trên mỗi lần tải trang bằng cách thêm một phần tử <img> GIF 1×1 ẩn và đặt chuỗi JavaScript làm thuộc tính "onload" của nó. Điều này, đến lượt nó, khiến mã độc được thực thi ngay sau khi hình ảnh được tải.
"Mã độc thực tế không bao giờ xuất hiện trong các tệp nguồn của tiện ích mở rộng," Tuckner giải thích. "Phân tích tĩnh chỉ cho thấy một hàm tạo các phần tử hình ảnh. Chỉ vậy thôi. Các payload được gửi từ máy chủ C2 và lưu trữ trong local storage – chúng chỉ tồn tại trong thời gian chạy."
Một phân tích tương tự về tiện ích mở rộng ShotBird của monxresearch-sec đã phát hiện việc sử dụng các callback trực tiếp để phân phối mã JavaScript thay vì tạo hình ảnh pixel 1x1 để kích hoạt thực thi. JavaScript được thiết kế để hiển thị một lời nhắc cập nhật trình duyệt Google Chrome giả mạo, khi nhấp vào đó người dùng sẽ được đưa đến một trang kiểu ClickFix để mở hộp thoại Run của Windows, khởi chạy "cmd.exe" và dán một lệnh PowerShell, dẫn đến việc tải xuống một tệp thực thi có tên "googleupdate.exe" trên các máy chủ Windows.
Phần mềm độc hại sau đó tiến hành hook các phần tử HTML input, textarea, select và thu thập bất kỳ dữ liệu nào do nạn nhân nhập. Điều này có thể bao gồm thông tin đăng nhập, PIN, chi tiết thẻ, token và các định danh chính phủ. Nó cũng được trang bị để đánh cắp dữ liệu được lưu trữ trong trình duyệt web Chrome, chẳng hạn như mật khẩu, lịch sử duyệt web và thông tin liên quan đến tiện ích mở rộng.
"Đây là một chuỗi lạm dụng hai giai đoạn: kiểm soát trình duyệt từ xa phía tiện ích mở rộng cộng với chuyển hướng thực thi cấp host thông qua các bản cập nhật giả mạo," nhà nghiên cứu cho biết. "Kết quả là rủi ro cao về lộ dữ liệu trong trình duyệt và xác nhận thực thi script cấp host trên ít nhất một hệ thống bị ảnh hưởng. Trên thực tế, điều này làm tăng tác động từ việc lạm dụng chỉ trong trình duyệt lên mức có thể đánh cắp thông tin đăng nhập và xâm phạm endpoint rộng hơn."
Người ta đánh giá rằng cùng một threat actor đứng sau vụ xâm phạm hai tiện ích mở rộng này và đang vận hành các tiện ích bổ sung như vậy song song, do việc sử dụng cùng một mô hình kiến trúc command-and-control (C2), các mồi nhử ClickFix được tiêm vào ngữ cảnh duyệt web và chuyển nhượng quyền sở hữu như một vector lây nhiễm.
Các chiến dịch tấn công tiện ích mở rộng khác
Điều thú vị là nhà phát triển tiện ích mở rộng ban đầu đã xuất bản một số tiện ích mở rộng khác dưới tên của mình trên Chrome Web Store, và tất cả chúng đều nhận được huy hiệu Featured. Nhà phát triển này cũng có một tài khoản trên ExtensionHub, mặc dù hiện tại không có tiện ích mở rộng nào được rao bán. Hơn nữa, cá nhân này đã từng cố gắng bán các domain như "AIInfraStack[.]com" với giá 2.500 USD, tuyên bố đây là "domain từ khóa mạnh" "phù hợp với hệ sinh thái AI đang phát triển nhanh chóng."
"Đây chính là vấn đề chuỗi cung ứng tiện ích mở rộng tóm lại," Annex Security nhận định. "Một tiện ích mở rộng 'Featured', được xem xét và có chức năng tốt lại đổi chủ, và chủ sở hữu mới đẩy một bản cập nhật bị vũ khí hóa đến mọi người dùng hiện có."
Thông tin này được đưa ra khi Microsoft cảnh báo về các tiện ích mở rộng trình duyệt độc hại dựa trên Chromium giả mạo công cụ trợ lý AI hợp pháp để thu thập lịch sử trò chuyện LLM và dữ liệu duyệt web.
"Ở quy mô lớn, hoạt động này biến một tiện ích mở rộng năng suất tưởng chừng đáng tin cậy thành một cơ chế thu thập dữ liệu dai dẳng được nhúng vào việc sử dụng trình duyệt doanh nghiệp hàng ngày, làm nổi bật rủi ro ngày càng tăng mà các tiện ích mở rộng trình duyệt gây ra trong môi trường doanh nghiệp," nhóm Nghiên cứu Bảo mật Microsoft Defender cho biết.
Trong những tuần gần đây, các threat hunters cũng đã gắn cờ một tiện ích mở rộng Chrome độc hại tên là lmΤoken Chromophore (ID: bbhaganppipihlhjgaaeeeefbaoihcgi) giả mạo imToken trong khi quảng cáo mình là một công cụ xem màu hex trên Chrome Web Store để đánh cắp các seed phrase tiền điện tử bằng cách sử dụng các phishing redirects.
"Thay vì cung cấp công cụ vô hại như đã hứa, tiện ích mở rộng tự động mở một trang web phishing do threat actor kiểm soát ngay sau khi được cài đặt và một lần nữa mỗi khi người dùng nhấp vào nó," nhà nghiên cứu Kirill Boychenko của Socket cho biết.
"Khi cài đặt, tiện ích mở rộng tìm nạp một URL đích từ một endpoint JSONKeeper được mã hóa cứng (jsonkeeper[.]com/b/KUWNE) và mở một tab trỏ đến một domain trông giống Chrome Web Store, chroomewedbstorre-detail-extension[.]com. Trang đích giả mạo imToken bằng cách sử dụng các homoglyph script hỗn hợp và dẫn nạn nhân vào các luồng credential-capture yêu cầu seed phrase 12 hoặc 24 từ hoặc private key."
Các tiện ích mở rộng độc hại khác được gắn cờ bởi Palo Alto Networks Unit 42 đã được phát hiện tham gia vào việc affiliate hijacking và data exfiltration, trong đó một tiện ích – Chrome MCP Server - AI Browser Control (ID: fpeabamapgecnidibdmjoepaiehokgda) – hoạt động như một remote access trojan (RAT) đầy đủ chức năng trong khi giả mạo một công cụ tự động hóa AI sử dụng Model Context Protocol (MCP).
Các nhà nghiên cứu của Unit 42 cũng đã tiết lộ rằng ba tiện ích mở rộng Chrome phổ biến, cụ thể là Urban VPN Proxy, Urban Browser Guard và Urban Ad Blocker, được Koi xác định là đã scraping các cuộc trò chuyện AI từ nhiều chatbot khác nhau như OpenAI ChatGPT, Anthropic Claude, Microsoft Copilot, DeepSeek, Google Gemini, xAI Grok, Meta AI và Perplexity, đã trở lại trên Chrome Web Store.
"Sau khi chiến dịch được công khai vào ngày 15 tháng 12 năm 2025, nhà phát triển đã cập nhật các phiên bản lành tính vào tháng 1 năm 2026, có thể là để phản ứng lại báo cáo," các nhà nghiên cứu Qinge Xie, Nabeel Mohamed, Shresta Bellary Seetharam, Fang Liu, Billy Melicher và Alex Starov cho biết.
Hơn nữa, công ty an ninh mạng đã xác định một tiện ích mở rộng có tên Palette Creator (ID: iofmialeiddolmdlkbheakaefefkjokp), có hơn 100.000 người dùng và phiên bản trước đó của nó đã liên lạc với các chỉ số mạng đã biết liên quan đến một chiến dịch được gọi là RedDirection để thực hiện browser hijacking.
Chưa hết. Một chiến dịch mới bao gồm hơn 30.000 domain đã được phát hiện khởi tạo một chuỗi redirect để định tuyến lưu lượng truy cập đến một landing page ("ansiblealgorithm[.]com") được sử dụng để phân phối tiện ích mở rộng Chrome có tên OmniBar AI Chat and Search (ID: ajfanjhcdgaohcbphpaceglgpgaaohod).
Tiện ích mở rộng này sử dụng API chrome_settings_overrides để thay đổi cài đặt Chrome và đặt trang chủ trình duyệt thành omnibar[.]ai, cũng như đặt nhà cung cấp tìm kiếm mặc định thành một URL tùy chỉnh: "go.omnibar[.]ai/?api=omni&sub1=omnibar.ai&q={searchTerms}" và theo dõi các truy vấn thông qua một tham số API.
Người ta tin rằng mục tiêu cuối cùng là thực hiện browser-hijacking như một phần của một kế hoạch affiliate marketing quy mô lớn, Unit 42 cho biết, đồng thời bổ sung rằng họ đã xác định hai tiện ích mở rộng khác cũng thể hiện hành vi browser-hijacking tương tự với OmniBar thông qua home page override và search interception:
- AI Output Algo Tool (ID: eeoonfhmbjlmienmmbgapfloddpmoalh)
- Serpey.com official extension (ID: hokdpdlchkgcenfpiibjjfkfmleoknkp)
Một cuộc điều tra sâu hơn về ba tiện ích mở rộng khác được xuất bản bởi cùng một nhà phát triển ("[email protected]" và Status 77) đã phát hiện ra rằng hai trong số chúng theo dõi hoạt động duyệt web của người dùng để tiêm các affiliate markers, trong khi tiện ích thứ ba trích xuất và truyền các chuỗi bình luận Reddit của người dùng đến một API endpoint do nhà phát triển kiểm soát:
- Care.Sale (ID: jaioobipjdejpeckgojiojjahmkiaihp)
- Giant Coupons Official Extension (ID: akdajpomgjgldidenledjjiemgkjcchc)
- Consensus - Reddit Comment Summarizer (ID: mkkfklcadlnkhgapjeejemflhamcdjld)
Người dùng đã cài đặt bất kỳ tiện ích mở rộng nào nói trên được khuyên nên gỡ bỏ chúng khỏi trình duyệt ngay lập tức, tránh side-loading hoặc cài đặt các tiện ích mở rộng năng suất không được xác minh, và kiểm tra trình duyệt để tìm bất kỳ tiện ích mở rộng không xác định nào và gỡ cài đặt chúng.
