Microsoft gỡ 119 tiện ích Edge ẩn mã độc trong ảnh và font
"Microsoft removed 119 malicious Edge extensions from the Edge Add-ons store after finding a long-running StegoAd campaign that hid payloads in PNG, WebP, and WOFF2 files. The extensions used delayed execution, server-side validation, and steganography to deliver ad fraud, credential theft, cookie exfiltration, and remote JavaScript execution; Microsoft also suspended the associated developer accounts and published indicators of compromise and remediation guidance."
Chiến dịch nhắm vào nhiều lớp dữ liệu người dùng và có khả năng remote code execution cùng cookie exfiltration; đồng thời gây ad fraud làm suy giảm an toàn duyệt web. Microsoft đã gỡ 119 tiện ích và đình chỉ 90+ tài khoản nhà phát triển, giảm rủi ro lây lan.
Rủi ro vận hành chủ yếu đến từ việc người dùng doanh nghiệp bị đánh cắp danh tính và phiên làm việc, kéo theo nguy cơ gián đoạn tài khoản và chi phí xử lý sự cố. Tác động gián tiếp từ ad fraud có thể làm tăng khiếu nại/giảm niềm tin người dùng, dù phạm vi tổ chức phụ thuộc vào mức độ cài đặt thực tế.
Microsoft đã gỡ bỏ 119 tiện ích mở rộng độc hại khỏi Edge Add-ons Store sau khi phát hiện một chiến dịch kéo dài, sử dụng steganography để giấu payload trong các tệp trông bình thường như PNG, WebP và WOFF2. Theo Microsoft, các tiện ích này có thể “thức dậy” sau khi cài đặt, vượt qua nhiều lớp kiểm tra né tránh trước khi thực thi.
Microsoft gọi chiến dịch là StegoAd (kết hợp steganography và adware) và cho biết các tiện ích liên quan thuộc về một tác nhân hoạt động từ ít nhất 2021. Tổng số lượt cài đặt ước tính lên tới 2,6 triệu người (Microsoft nêu đây là ngưỡng, không phải số nạn nhân xác định). Một số biến thể có cơ chế trì hoãn, server-side validation và “execution gate” khoảng 10%, khiến nhiều lượt cài đặt không kích hoạt payload.
Về tác động, Microsoft ghi nhận ad fraud (chèn quảng cáo, chiếm hoa hồng affiliate, chuyển hướng tìm kiếm) và sâu hơn là credential theft: đánh cắp thông tin đăng nhập Google, mã xác thực hai yếu tố, lấy cookie để chiếm phiên và có remote JavaScript execution từ máy chủ điều khiển. Microsoft cũng đã đình chỉ 90+ tài khoản nhà phát triển liên quan và công bố indicators of compromise.
Khuyến nghị: kiểm tra danh sách tiện ích bị gỡ tại báo cáo kỹ thuật, rà soát lịch sử đăng nhập gần đây, đổi mật khẩu các tài khoản nhạy cảm (Google/WordPress/ngân hàng), bật 2FA và ưu tiên security key thay cho SMS.