Một chiến dịch tấn công trình duyệt tinh vi mang tên RedDirection đã âm thầm biến 18 tiện ích mở rộng từng được xem là an toàn thành công cụ theo dõi và chiếm quyền điều khiển trình duyệt người dùng. Theo cảnh báo từ nhóm nghiên cứu bảo mật Koi Security, hơn 2 triệu người dùng Chrome và Edge đã bị ảnh hưởng và con số thực tế có thể còn cao hơn

Các tiện ích độc hại này từng tích lũy hàng trăm đánh giá tích cực trong nhiều năm thậm chí có tiện ích còn được xác minh bởi Google và xuất hiện nổi bật trên cửa hàng Chrome Web Store. Nhưng chỉ với một bản cập nhật phiên bản tự động không yêu cầu người dùng xác nhận toàn bộ mã nguồn đã bị thay đổi và trở thành mã độc trình duyệt nguy hiểm

Theo các nhà nghiên cứu tiện ích Color Picker Eyedropper Geco colorpick là một ví dụ điển hình vẫn hoạt động như một công cụ chọn màu nhưng âm thầm ghi lại mọi trang web người dùng truy cập đồng thời thiết lập kênh điều khiển từ xa duy trì liên tục

Khi được kích hoạt mã độc sẽ bí mật theo dõi mỗi lần người dùng mở một trang web mới gửi thông tin URL gốc cùng định danh thiết bị về máy chủ điều khiển và nhận lại địa chỉ chuyển hướng. Nếu có chỉ thị tiện ích sẽ tự động đưa người dùng sang các trang giả mạo được thiết kế tinh vi nhằm đánh cắp thông tin đăng nhập chẳng hạn như trang đăng nhập ngân hàng hoặc lời mời cập nhật Zoom giả mạo

Dù mỗi tiện ích dùng tên miền khác nhau tạo cảm giác đến từ nhiều nhà phát triển độc lập tất cả đều chia sẻ cùng một hạ tầng điều phối tấn công. Đây là lý do chiến dịch RedDirection được đánh giá là một trong những chiến dịch chiếm quyền trình duyệt quy mô lớn nhất từ trước đến nay

Danh sách tiện ích trình duyệt độc hại đã được xác nhận

Chrome:

• Emoji keyboard online copy paste your emoji
• Free Weather Forecast
• Video Speed Controller Video Manager
• Unlock Discord VPN Proxy to Unblock Discord Anywhere
• Dark Theme Dark Reader for Chrome
• Volume Max Ultimate Sound Booster
• Unblock TikTok Seamless Access with One Click Proxy
• Unlock YouTube VPN
• Color Picker Eyedropper Geco colorpick
• Weather

Edge:

• Unlock TikTok
• Volume Booster Increase your sound
• Web Sound Equalizer
• Header Value
• Flash Player games emulator
• Youtube Unblocked
• SearchGPT ChatGPT for Search Engine
• Unlock Discord

Các tiện ích này hiện đã bị gỡ khỏi cửa hàng nhưng một số tên miền điều khiển vẫn đang hoạt động và tiếp tục phát tán mã độc

Nếu phát hiện trình duyệt có tiện ích nghi vấn người dùng nên

• Xóa ngay tiện ích khỏi Chrome hoặc Edge
• Xóa toàn bộ dữ liệu duyệt web gồm lịch sử cookie bộ nhớ đệm và dữ liệu trang
• Đặt lại trình duyệt về cài đặt mặc định
• Đổi mật khẩu tất cả các tài khoản từng truy cập trong thời gian tiện ích bị cài đặt
• Kích hoạt xác thực hai yếu tố cho tài khoản quan trọng
• Theo dõi tài khoản email và tin nhắn để phát hiện truy cập trái phép
• Đảm bảo trình duyệt và các tiện ích còn lại luôn được cập nhật
• Quét toàn bộ hệ thống bằng phần mềm diệt virus

Các chuyên gia bảo mật nhấn mạnh người dùng cần cảnh giác khi tiện ích mở rộng yêu cầu quyền truy cập mới sau khi cập nhật. Mỗi lần cập nhật có thể là thời điểm mà một tiện ích từ hữu ích trở thành nguy hiểm. Việc kiểm tra định kỳ các tiện ích đang dùng và gỡ bỏ những tiện ích không cần thiết là bước quan trọng giúp giảm rủi ro.