راهنمای خطرات افزونه‌های مرورگر پس از کمپین ShadyPanda

در اوایل دسامبر ۲۰۲۵، محققان امنیتی یک کمپین جرایم سایبری گسترده را افشا کردند که طی هفت سال، افزونه‌های محبوب مرورگرهای کروم و اج را به‌طور مخفیانه هک کرده بود. گروه تهدید ShadyPanda با استراتژی بلندمدت، افزونه‌های بی‌ضرر منتشر یا خریداری کرد و آنها را سال‌ها بدون مشکل اجرا کرد تا اعتماد کاربران را جلب و میلیون‌ها نصب کسب کند، سپس ناگهان از طریق به‌روزرسانی‌های خاموش آنها را به بدافزار تبدیل کرد. در مجموع حدود ۴.۳ میلیون کاربر این افزونه‌های قانونی را نصب کردند که ناگهان به ابزارهای جاسوسی و درهای پشتی (backdoor) مجهز شدند. این تاکتیک اساساً یک حمله زنجیره تامین (supply-chain attack) افزونه مرورگر بود که حتی برخی افزونه‌ها نشان‌های ویژه و تأیید شده در فروشگاه رسمی کروم و سایت افزونه‌های مایکروسافت اج دریافت کردند. پس از فعال‌سازی در اواسط ۲۰۲۴، این افزونه‌های آلوده به یک چارچوب کامل اجرای کد از راه دور (RCE) در مرورگر تبدیل شدند که می‌توانستند کدهای جاوااسکریپت دلخواه را با دسترسی کامل به داده‌ها و قابلیت‌های مرورگر دانلود و اجرا کنند.

این حمله قدرت‌های جاسوسی گسترده‌ای از جمله نظارت بر هر URL و ضربه کلید، تزریق اسکریپت‌های مخرب به صفحات وب، و سرقت داده‌های مرور و اعتبارنامه‌ها را فراهم کرد. بدترین قابلیت، سرقت کوکی‌ها و توکن‌های نشست (session tokens) بود که به مهاجمان امکان جعل هویت کامل حساب‌های SaaS مانند مایکروسافت ۳۶۵ یا گوگل ورک‌اسپیس را می‌داد. این حادثه نشان داد که افزونه‌های مخرب مرورگر می‌توانند به مهاجمی با کلیدهای دسترسی به سیستم‌های SaaS سازمانی تبدیل شوند و حتی احراز هویت چندعاملی (MFA) را دور بزنند. کارشناسان امنیتی توصیه می‌کنند سازمان‌ها با اعمال لیست‌های مجاز افزونه‌ها، بررسی منظم مجوزها، نظارت بر رفتار مشکوک، و استفاده از پلتفرم‌های امنیتی SaaS مانند Reco که می‌تواند ریسک‌های مرورگر را با رفتار حساب‌های SaaS مرتبط کند، از این تهدیدات محافظت کنند.