ShadyPanda: לפי Koi, הרחבות Chrome ו-Edge שהפכו זדוניות פגעו בכ-4.3 מיליון משתמשים
ב-1 בדצמבר 2025 דיווחה The Register על ShadyPanda, קמפיין שלפי Koi Security נמשך כשבע שנים. הרחבות לגיטימיות צברו משתמשים ואז קיבלו עדכון שהפך אותן לדלת אחורית או לתוכנת ריגול.
TL;DR בקצרה
- לפי Koi Security, ShadyPanda פגעה בכ-4.3 מיליון משתמשי Chrome ו-Edge בקמפיין של כשבע שנים, דרך הרחבות שקיבלו עדכון זדוני.
- קמפיין אחד כלל דלת אחורית בחמש הרחבות, בהן Clean Master, עם כ-300 אלף משתמשים. השני כלל חמש הרחבות ל-Edge עם מעל 4 מיליון התקנות, בהן WeTab.
- WeTab אוספת כתובות, חיפושים ולחיצות עכבר ושולחת אותם לשרתים בסין, לפי הדיווחים.
- Google אישרה שההרחבות לא ב-Chrome Web Store. Microsoft אמרה ב-2 בדצמבר שהסירה את ההרחבות הזדוניות מחנות Edge.
ב-1 בדצמבר 2025 דיווחה The Register על ShadyPanda, קמפיין שנמשך כשבע שנים. לפי חברת Koi Security, הוא פגע בכ-4.3 מיליון משתמשי Chrome ו-Edge. התוקפים פרסמו הרחבות שנראו לגיטימיות וצברו משתמשים. אחר כך שלחו עדכון שהפך אותן לדלת אחורית או לתוכנת ריגול.
איך ShadyPanda הפכה הרחבות לגיטימיות לכלי ריגול
הקמפיין לא נשען על פישינג או על הנדסה חברתית. לפי חוקרי Koi, התוקפים הסתמכו על הרחבות מהימנות ועל עדכוני גרסה שקטים. הם מוסיפים שחנויות ההרחבות ״לא מסתכלות על מה שקורה אחרי האישור״.
דוגמה בולטת היא Clean Master של Starlab Technology, עם מעל 200 אלף התקנות. לפי The Register, שלוש מההרחבות בקמפיין הראשון עלו לחנות ב-2018 וב-2019. הן קיבלו סימון Featured ו-Verified. באמצע 2024 שלחו המפתחים עדכון זדוני לכל חמש ההרחבות, ב-Chrome וב-Edge.
ShadyPanda: דלת אחורית ל-300 אלף משתמשים ותוכנת ריגול ב-Edge
הקמפיין הראשון הגיע לכ-300 אלף משתמשים. לפי The Register, ההרחבות בדקו כל שעה אם יש הוראות חדשות. הן הורידו קוד JavaScript והריצו אותו עם גישה מלאה ל-API של הדפדפן. הקוד יכול להזריק קוד זדוני לכל אתר, כולל אתרי HTTPS.
Clean Master שלחה לשרתי התוקפים את הכתובות שנפתחו, הפניות, חותמות זמן ומזהים קבועים. לפי The Register, היא גם עברה להתנהגות תמימה כשחוקר פתח את כלי המפתחים.
הקמפיין השני פועל ב-Edge. חמש הרחבות מאותו מפרסם עלו לחנות בסביבות 2023, ויש להן יחד מעל 4 מיליון התקנות. לפי Koi, שתיים מהן מתקינות רכיב ריגול. WeTab, עם כ-3 מיליון התקנות, אוספת כל כתובת שנפתחה, חיפושים ולחיצות עכבר. היא מעבירה אותם בזמן אמת לשרתים בסין ול-Google Analytics, לפי The Register.
ל-WeTab יש הרשאות רחבות, כולל גישה לכל הכתובות ולעוגיות. Koi מזהירה שהתוקפים יכולים לשלוח לה עדכון בכל רגע.
זה לא הקמפיין הראשון של הקבוצה. ב-2023 היא הפעילה 20 הרחבות ב-Chrome Web Store ו-125 ב-Edge, שהתחזו לטפטים וכלי פרודוקטיביות. הן הוסיפו קודי שותפים כשהמשתמש לחץ על eBay, Amazon או Booking.com. הרחבה אחרת, Infinity V+, הפנתה חיפושים לאתר חוטף וגם רשמה הקלדות בתיבת החיפוש.
מה אמרו Google ו-Microsoft
נציג Google אישר ל-The Register שאף אחת מההרחבות אינה ב-Chrome Web Store. Microsoft לא הגיבה בזמן הפרסום. בעדכון מ-2 בדצמבר אמר נציג שלה שכל ההרחבות שזוהו כזדוניות הוסרו מחנות Edge.
הצהרה זו הגיעה אחרי ש-Koi מסרה שחמש ההרחבות עדיין פעילות ב-Edge. המקורות שפתחתי לא מראים מתי בדיוק הוסרו.
מה זה אומר עבורכם
- בדקו את ההרחבות: פתחו chrome://extensions ו-edge://extensions. חפשו את Clean Master, את WeTab ואת Infinity V+, והסירו אותן.
- הסירו הרחבות מיותרות: כל הרחבה עם גישה לכל האתרים היא סיכון. זה נכון גם אם היא עובדת שנים בלי בעיה.
- היו חשופים? אם אחת ההרחבות הייתה מותקנת, שקלו להחליף סיסמאות לשירותים רגישים. ההרחבות אספו כתובות של אתרים שביקרתם בהם.
- בארגון: הגדירו במדיניות הדפדפן רשימה של הרחבות מותרות, ובדקו אילו הרחבות מותקנות בעמדות העבודה.
- אל תסתמכו על החנות: לפי Koi, בדיקה בזמן ההגשה לא תופסת עדכון זדוני שמגיע שנים אחר כך.
מקורות והרחבה
- Stealthy browser extensions waited years before infecting 4.3M Chrome, Edge users with backdoors and spywareThe Register
- ShadyPanda's Seven-Year Campaign Infects 4.3M Chrome and Edge UsersInfosecurity Magazine
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
