افزونه مخرب فایرفاکس؛ سرقت نشست‌های گوگل بدون نیاز به رمز عبور

یک افزونه (Extension) مخرب در مرورگر فایرفاکس شناسایی شده است که با جعل هویت به عنوان یک ابزار تأیید هویت PDF، حساب‌های گوگل را از طریق سرقت کوکی‌های نشست (Session Cookies) و فعالیت‌های خودکار تصاحب می‌کند.

مکانیزمe دور زدن تحلیل‌های امنیتی

این کمپین به دلیل روش خاص خود درeevasion قابل توجه است؛ زیرا افزونه در ابتدا هیچ کد مشکوکی برای سرقت اطلاعات، URLهای مخرب یا Payloadهای سخت‌افزاری (Hardcoded) ندارد. این موضوع باعث می‌شود در تحلیل‌های استاتیک (Static Analysis) اولیه، برنامه سالم به نظر برسد. قابلیت‌های مخرب این افزونه در نسخه 1.4 و از تاریخ 11 سپتامبر فعال شده است.

روش عملیاتی و تزریق پیکربندی

این افزونه ادعا می‌کند ابزاری برای اعتبارسنجی هویت کاربر پیش از باز کردن اسناد PDF است. فایل‌های اصلی آن مانند manifest.json و background.js حاوی منطق مستقیم برای تصاحب حساب نیستند، بلکه background worker به عنوان یک مفسر دستورات کلی عمل می‌کند که پیکربندی‌ها را از browser.storage.local می‌خواند.

• فعال‌سازی پس از نصب: افزونه پس از نصب، با تأخیر ۵ ثانیه‌ای به دامنه جعلی pdf[.]gusercontent[.]com/oninstalled متصل می‌شود.
• تزریق دستورات: از طریق یک پل ارتباطی window.postMessage، پیکربندی‌های عملیاتی از سرور مهاجم به حافظه محلی افزونه منتقل می‌شود.

سرقت نشست و دور زدن Passkey

پس از دریافت پیکربندی، افزونه پاسخ‌های دریافتی از دامنه‌های google.com را رصد کرده و به دنبال مقادیر oauth_token در هدرهای Set-Cookie می‌گردد. این داده‌ها به همراه ایمیل قربانی به سرور مهاجم ارسال می‌شود که امکان Session Hijacking را بدون نیاز به رمز عبور فراهم می‌کند.

تصاحب کامل حساب (Account Takeover)

در مرحله دوم، افزونه یک اسکریپت را در صفحات واقعی accounts.google.com تزریق می‌کند. این اسکریپت با نمایش یک لایه (Overlay) تمام‌صفحه با متن «در حال تأیید هویت شما»، اقدامات مخرب را در پس‌زمینه پنهان کرده و سعی می‌کند فرآیندهای بازیابی حساب یا چالش‌های Passkey را به صورت خودکار مدیریت کند. در صورتی که کنترل‌های ریسک گوگل نیاز به تغییر رمز عبور داشته باشند، اسکریپت یک رمز عبور جدید تولید و ارسال می‌کند تا دسترسی دائمی ایجاد شود.

توصیه‌های امنیتی برای تیم‌های SOC

سازمان‌ها باید موارد زیر را بررسی کنند:

• جستجوی درخواست‌های ارسالی به دامنه pdf[.]gusercontent[.]com در لاگ‌های شبکه.
• بررسی نصب افزونه‌های مشکوک با دسترسی‌های گسترده به webRequest و storage.
• پایش فعالیت‌های غیرعادی در نشست‌های OAuth.