Theo dõi lỗ hổng bảo mật của ShadyPanda, làm thế nào? MetaDefender Endpoint Giúp ngăn chặn các lỗ hổng bảo mật do tiện ích mở rộng trình duyệt gây ra.

Các tiện ích mở rộng trình duyệt thường có vẻ vô hại đối với đa số người dùng, khiến họ cài đặt chúng mà hầu như không nghi ngờ gì về tính bảo mật. Điều này đặc biệt đúng với những tiện ích được trình duyệt chính thức giới thiệu và xác minh, chẳng hạn như Google Chrome. Sau khi được cài đặt, những tiện ích này có thể được cấp quyền truy cập vào hầu hết mọi thông tin mà người dùng tiếp xúc, bao gồm email, dữ liệu phiên làm việc, mật khẩu, các phím bấm và các công cụ nội bộ – đây chính là những lỗ hổng mà kẻ tấn công thường nhắm đến để khai thác.

Khi nhóm hacker có biệt danh ShadyPanda cài đặt một lỗ hổng bảo mật vào các tiện ích mở rộng trình duyệt phổ biến được cài đặt trên hơn 4.000.000 thiết bị, điều này một lần nữa cho thấy việc kẻ tấn công ẩn náu trong các tiện ích mở rộng trình duyệt – một kênh tấn công thường bị bỏ qua – là điều dễ dàng đến mức nào.

Vụ tấn công ShadyPanda không phải là trường hợp cá biệt. Trong những năm qua, đã có nhiều vụ khai thác lỗ hổng nghiêm trọng liên quan đến tiện ích mở rộng trình duyệt được phát hiện:

• Năm 2025, các nhà nghiên cứu đã phát hiện ra một chiến dịch gồm 18 tiện ích mở rộng độc hại theo dõi hành vi của người dùng trên các trình duyệt Chrome và Edge.
• Năm 2023, PDF Toolbox, một tiện ích mở rộng của Chrome đã đạt hơn 2 triệu lượt tải xuống, có khả năng chèn mã tùy ý vào mọi trang web mà người dùng truy cập.
• Năm 2019, vụ rò rỉ dữ liệu của DataSpii, liên quan đến các tiện ích mở rộng như Hover Zoom và SpeakIt, đã dẫn đến việc thu thập và tiết lộ thông tin cá nhân của người dùng, bao gồm lịch sử duyệt web và các dữ liệu nhận dạng khác.
• Năm 2017, Archive Poster, một tiện ích mở rộng của Chrome, đã chứa mã khai thác tiền điện tử trong mã nguồn của mình.
• Năm 2017, Web Developer for Chrome, một công cụ phổ biến với hơn một triệu người dùng, đã bị tấn công để chèn quảng cáo và thực hiện các cuộc tấn công lừa đảo.

Các tiện ích mở rộng trình duyệt vẫn là một phương thức tấn công phổ biến do một số yếu tố sau:

1. Tự động cập nhật: Các tiện ích mở rộng có thể tự động cập nhật mà không cần sự can thiệp của người dùng. Nếu tài khoản nhà phát triển bị xâm phạm hoặc mã độc được cài cắm vào bản cập nhật, hàng triệu người dùng có thể bị đe dọa ngay lập tức.
2. Quyền truy cập cao, mức độ giám sát thấp: Các tiện ích mở rộng thường yêu cầu các quyền truy cập rộng rãi, bao gồm quyền đọc và sửa đổi nội dung trang web, truy cập hoạt động duyệt web hoặc tương tác với các tệp tin.
3. Thiếu giám sát: Nhiều tổ chức không theo dõi các tiện ích mở rộng mà nhân viên cài đặt, các quyền truy cập mà chúng yêu cầu, cũng như việc các bản cập nhật có mang lại các mối đe dọa mới hay không.
4. Sự tin tưởng của người dùng rất dễ bị lợi dụng: Người dùng thường cho rằng các tiện ích mở rộng là an toàn nếu chúng được tải xuống từ cửa hàng tiện ích của trình duyệt, đặc biệt là khi đã được xác minh hoặc được giới thiệu nổi bật.
5. Chú trọng vào đánh giá hơn là tính bảo mật: Nhiều người dùng cài đặt tiện ích mở rộng chỉ dựa trên mức độ phổ biến hoặc các đánh giá, và cấp quyền mà không hiểu rõ các rủi ro.

Các tiện ích mở rộng trình duyệt đã trở thành một trong những phương thức tấn công phổ biến nhất và dễ bị lợi dụng nhất. Kẻ tấn công không cần phải sử dụng phần mềm độc hại được ngụy trang hay các kỹ thuật phức tạp để xâm nhập vào thiết bị của người dùng. Chỉ cần một người dùng nhấp vào nút “Thêm vào Chrome” là đủ để mở ra một lối vào trực tiếp vào trình duyệt và mọi thứ mà trình duyệt có thể truy cập, khiến việc khai thác hàng triệu thiết bị trở nên dễ dàng trước khi ai đó kịp phát hiện.

Một khi tiện ích mở rộng trình duyệt độc hại đã được cài đặt, nó có thể:

• Thu thập dữ liệu duyệt web, thông tin đăng nhập, cookie và mã thông báo phiên
• Ghi lại các thao tác gõ phím, làm lộ mật khẩu, tin nhắn và các thông tin nhập vào mang tính bảo mật
• Đọc và đánh cắp tài liệu công ty, dữ liệu nhạy cảm và thông tin nhận dạng cá nhân
• Cấy phần mềm gián điệp hoặc các đoạn mã độc vào bất kỳ trang web nào mà người dùng truy cập
• Tạo ra các đường tấn công mới vào các dịch vụ đám mây và các ứng dụng nhạy cảm
• Tải xuống phần mềm độc hại khác ở chế độ nền mà không có sự đồng ý của người dùng
• Tiếp quản tài khoản
• Chuyển hướng lưu lượng truy cập đến các trang web độc hại, nơi tự động tải xuống phần mềm độc hại hoặc sử dụng các thủ đoạn lừa đảo
• Tải các lỗ hổng bảo mật

Các tổ chức không thể chỉ trông cậy vào người dùng hay các cửa hàng ứng dụng trên trình duyệt để ngăn chặn những mối đe dọa này. Họ cần có các biện pháp kiểm tra tự động và bắt buộc tại điểm cuối.