Nhóm Socket Threat Research Team vừa phát hiện một chiến dịch spamware mới, với 131 extension độc hại đang tràn ngập Chrome Web Store. Các tiện ích này không phải malware truyền thống mà là công cụ tự động hóa rủi ro cao, được thiết kế để vi phạm chính sách nền tảng và thực hiện các chiến dịch spam quy mô lớn nhắm vào người dùng WhatsApp Web, chủ yếu tại Brazil.

Cốt lõi của chiến dịch này là một mô hình reseller. Thực chất, chỉ có một công cụ tự động hóa WhatsApp Web duy nhất, nhưng nó đã được nhân bản và rebrand thành 131 tiện ích mở rộng riêng biệt. Mặc dù có tên, logo và trang web tiếp thị khác nhau, tất cả các bản sao này đều chia sẻ chung mã nguồn, thiết kế và cơ sở hạ tầng backend.

Đáng chú ý, hơn 80 tiện ích trong số này mang nhãn WL Extensão hoặc một biến thể tương tự, và tất cả đều được xuất bản chỉ qua hai tài khoản nhà phát triển là suporte@grupoopt.com.br và kaio.feitosa@grupoopt.com.br. Cả hai tài khoản này đều liên kết với công ty Brazil DBX Tecnologia và chi nhánh của nó, Grupo OPT.

Công ty này quảng cáo đây là một mô hình hợp tác white-label béo bở, hứa hẹn doanh thu định kỳ cho các đại lý. Kết quả là một chiến dịch đa hướng, nơi các đại lý tung ra các công cụ gần như giống hệt nhau, làm ngập lụt thị trường thông qua các trang web tiếp thị, YouTube và LinkedIn.

Mục đích của các tiện ích này rất rõ ràng: tự động hóa việc gửi tin nhắn hàng loạt qua WhatsApp Web, bao gồm các tính năng lên lịch và template được thiết kế để trốn tránh các thuật toán chống spam của WhatsApp. Phần mềm này hoạt động bằng cách code injection trực tiếp vào trang WhatsApp Web, điều phối việc tiếp cận người dùng hàng loạt, trong khi vẫn chạy song song với các script hợp pháp của WhatsApp.

Các tài liệu quảng cáo và hướng dẫn của chúng thậm chí còn nêu bật các cách điều chỉnh khoảng thời gian nhắn tin và kiểu gửi tin để qua mặt các hệ thống phát hiện.

Đây là hành vi vi phạm trắng trợn chính sách của cả Chrome Web Store và WhatsApp. Google nghiêm cấm các tiện ích trùng lặp, spam hàng loạt và gửi tin nhắn mà không có sự đồng ý của người dùng. Trong khi đó, chính sách Nhắn tin Doanh nghiệp của WhatsApp yêu cầu người dùng phải opt-in nhận tin.

Những tuyên bố của các tiện ích này rằng việc có mặt trên Chrome Web Store đảm bảo đã qua kiểm duyệt bảo mật là hoàn toàn sai lệch và gây hiểu lầm.

Hiện tại, 131 tiện ích mở rộng này có tổng cộng ít nhất 20.905 người dùng đang hoạt động. Nhóm nghiên cứu đã gắn cờ các tiện ích này vì vi phạm chính sách trực tiếp. Mặc dù yêu cầu gỡ bỏ đã được gửi đi, tại thời điểm công bố, tất cả các tiện ích này vẫn còn trên cửa hàng của Google.