Google Oauth2

Pesquisadores da empresa de segurança Socket identificaram mais de 100 extensões maliciosas na Chrome Web Store que tentam roubar tokens de autenticação do Google OAuth2, implantar backdoors e realizar fraudes publicitárias. Essas extensões fazem parte de uma campanha coordenada que utiliza a mesma infraestrutura de comando e controle (C2). Os atacantes publicaram as extensões sob cinco identidades diferentes, abrangendo categorias como clientes de Telegram, jogos de azar e ferramentas de tradução. A campanha utiliza um backend central hospedado em um VPS da Contabo, com subdomínios dedicados a roubo de sessões e coleta de dados. Entre as extensões, uma se destaca por roubar sessões do Telegram a cada 15 segundos, permitindo que os atacantes troquem a conta do Telegram do usuário sem seu conhecimento. A Socket notificou o Google sobre a campanha, mas as extensões ainda estão disponíveis na loja. Os usuários são aconselhados a verificar suas extensões instaladas e desinstalar qualquer correspondência com as IDs publicadas pela Socket.