Μια εκτεταμένη και ιδιαίτερα ύπουλη καμπάνια κακόβουλου λογισμικού, γνωστή ως «StealTok», φέρνει στο προσκήνιο νέους κινδύνους για χιλιάδες χρήστες διαδικτύου. Πρόκειται για ένα δίκτυο τουλάχιστον 12 διασυνδεδεμένων επεκτάσεων browser, οι οποίες παρουσιάζονται ως εργαλεία λήψης βίντεο από το TikTok, αλλά στην πραγματικότητα λειτουργούν ως μηχανισμοί παρακολούθησης και συλλογής δεδομένων.
Η έρευνα της LayerX αποκαλύπτει ότι πάνω από 130.000 χρήστες έχουν επηρεαστεί παγκοσμίως, ενώ χιλιάδες εγκαταστάσεις παραμένουν ενεργές σε δημοφιλή οικοσυστήματα όπως το Google Chrome και το Microsoft Edge.
Ο μηχανισμός διάδοσης και η στρατηγική των επιτιθέμενων
Οι δημιουργοί της καμπάνιας υιοθετούν μια εξαιρετικά οργανωμένη προσέγγιση, δημιουργώντας συνεχώς νέες εκδόσεις ή «κλώνους» των ίδιων επεκτάσεων. Κάθε φορά που μία έκδοση εντοπίζεται και αφαιρείται από τα επίσημα stores, εμφανίζεται γρήγορα μια νέα, ελαφρώς τροποποιημένη.
Αυτή η τακτική εξασφαλίζει τη συνεχή παρουσία του κακόβουλου λογισμικού, καθιστώντας δύσκολη την πλήρη εξάλειψή του. Παράλληλα, οι επεκτάσεις λειτουργούν αρχικά κανονικά, προσφέροντας την υποσχόμενη δυνατότητα λήψης βίντεο χωρίς watermarks, κάτι που ενισχύει την αξιοπιστία τους.
Σε αρκετές περιπτώσεις, οι εφαρμογές αυτές απέκτησαν ακόμη και σήμανση «featured», αυξάνοντας την εμπιστοσύνη των χρηστών και οδηγώντας σε μαζικές εγκαταστάσεις.
Δείτε επίσης: Οι επιτιθέμενοι καταχρώνται το Microsoft Teams και στοχεύουν υπαλλήλους
Καθυστερημένη ενεργοποίηση: Η πιο επικίνδυνη τακτική
Το στοιχείο που καθιστά την εκστρατεία StealTok ιδιαίτερα επικίνδυνη είναι η χρήση της λεγόμενης καθυστερημένης ενεργοποίησης κακόβουλων λειτουργιών. Για διάστημα που μπορεί να φτάσει έως και έναν χρόνο, οι επεκτάσεις παραμένουν αδρανείς από πλευράς κακόβουλης συμπεριφοράς.
Κατά τη διάρκεια αυτής της περιόδου, χτίζουν θετικές αξιολογήσεις και περνούν επιτυχώς τους ελέγχους ασφαλείας. Όταν όμως αποκτήσουν επαρκή βάση χρηστών, ενεργοποιούν τις κρυφές λειτουργίες μέσω σύνδεσης με απομακρυσμένους servers εντολών και ελέγχου.
Αυτή η τεχνική επιτρέπει στους επιτιθέμενους να μετατρέψουν μια φαινομενικά αθώα επέκταση σε εργαλείο κατασκοπείας, χωρίς να απαιτείται ενημέρωση ή νέα εγκατάσταση.
Συλλογή δεδομένων και δημιουργία ψηφιακού αποτυπώματος
Μόλις ενεργοποιηθούν, οι επεκτάσεις ξεκινούν τη σιωπηλή συλλογή δεδομένων χρήστη. Παρακολουθούν τη δραστηριότητα περιήγησης, τα αρχεία που κατεβάζονται και διάφορα τεχνικά χαρακτηριστικά της συσκευής.
Μεταξύ των δεδομένων που συλλέγονται περιλαμβάνονται η ζώνη ώρας, οι γλωσσικές ρυθμίσεις και ακόμη και η κατάσταση της μπαταρίας. Αν και μεμονωμένα αυτά τα στοιχεία φαίνονται αθώα, ο συνδυασμός τους δημιουργεί ένα μοναδικό «ψηφιακό αποτύπωμα».
Με αυτόν τον τρόπο, οι επιτιθέμενοι μπορούν να παρακολουθούν τους χρήστες σε διαφορετικές ιστοσελίδες και υπηρεσίες, ακόμη και χωρίς τη χρήση cookies.
Δείτε επίσης: Οι ειδοποιήσεις αλλαγής λογαριασμού της Apple στέλνουν phishing email
Απόκρυψη δραστηριότητας και τεχνικές αποφυγής εντοπισμού
Για να αποφύγουν την ανίχνευση, οι επεκτάσεις αποστέλλουν τα δεδομένα σε παραπλανητικά domains που μοιάζουν με νόμιμα, αλλά περιέχουν μικρά ορθογραφικά λάθη. Αυτή η τεχνική δυσκολεύει την αναγνώριση της κακόβουλης δραστηριότητας τόσο από χρήστες όσο και από αυτοματοποιημένα συστήματα.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Το StealTok αναδεικνύει ένα σημαντικό κενό στην ασφάλεια των browsers: η αξιολόγηση κατά την εγκατάσταση δεν επαρκεί πλέον. Καθώς οι επεκτάσεις μπορούν να αλλάξουν συμπεριφορά δυναμικά, η πραγματική απειλή εμφανίζεται πολύ αργότερα.
Ενεργές απειλές και παραδείγματα επεκτάσεων
Οι ερευνητές εντόπισαν αρκετές ενεργές επεκτάσεις που σχετίζονται με την καμπάνια. Στο Chrome, μεταξύ αυτών περιλαμβάνονται εργαλεία με χιλιάδες εγκαταστάσεις, ενώ αντίστοιχες εκδόσεις εντοπίστηκαν και στο Edge.
Δείτε επίσης: Google: Το Gemini AI σταματά τις κακόβουλες διαφημίσεις
Ορισμένες δημοφιλείς εκδόσεις έχουν ήδη αφαιρεθεί, όπως επεκτάσεις που είχαν συγκεντρώσει δεκάδες χιλιάδες χρήστες. Ωστόσο, η συνεχής ανανέωση των εκδόσεων σημαίνει ότι η απειλή παραμένει ενεργή.
Προστασία χρηστών και νέες προσεγγίσεις ασφάλειας
Οι ειδικοί συνιστούν την άμεση απεγκατάσταση ύποπτων επεκτάσεων και την αλλαγή κωδικών πρόσβασης σε κρίσιμους λογαριασμούς. Παράλληλα, προτείνεται η υιοθέτηση λύσεων που βασίζονται στη συνεχή παρακολούθηση συμπεριφοράς, τόσο σε εταιρικό όσο και σε ατομικό επίπεδο.
Η υπόθεση StealTok δείχνει ξεκάθαρα ότι το τοπίο των απειλών εξελίσσεται. Οι επιθέσεις δεν βασίζονται πλέον μόνο σε τεχνικές ευπάθειες, αλλά και στην εμπιστοσύνη των χρηστών. Σε αυτό το περιβάλλον, η επαγρύπνηση και η κατανόηση των κινδύνων αποτελούν την πρώτη γραμμή άμυνας.
