On dokuz Chrome ve Edge eklentisi güncellemeler yoluyla kötü amaçlı hale getirilerek cüzdan ve kimlik bilgilerini çalmaya başladı

Socket Threat Research tarafından "Superior" olarak adlandırılan bir kampanya, tarayıcı eklentisi güncelleme mekanizmasını kimlik bilgisi ve kripto para hırsızlığı için bir dağıtım kanalına dönüştürdü; bu, 30 Ağustos 2026'da dev.to üzerinde özetlenen bir BleepingComputer raporuna göre aktarılıyor. Chrome Web Store ve Microsoft Edge Add-ons üzerinden sunulan on dokuz eklenti ya gerçekten zararsız araçlar olarak yayımlandı ya da özgün geliştiricilerinden satın alındı ve bir kullanıcı tabası biriktikten sonra kötü amaçlı bir güncelleme gönderildi.

Temel sorun yapısal: tarayıcılar kurulu eklentileri varsayılan olarak otomatik günceller ve mağazalar bir eklentinin sahibinin değiştiğini kullanıcılara açıkça bildirmez. Kurulum sırasında bir incelemecinin veya kullanıcının gördüğü kod, daha sonra çalışan kod olmak zorunda değildir.

Saldırı nasıl çalışıyor

Rapora göre yükleyici, eklentinin arka plan service worker'ında yer alıyor. Kurulumdan veya güncellemeden sonra o kurulum için benzersiz bir tanımlayıcı üretiyor ve bir komuta kontrol sunucusuna WebSocket bağlantısı açıyor. Bu kanal üzerinden dönen JavaScript modülleri chrome.storage.local üzerine yazılıyor ve eklenti kimliği ile kurulum başına UUID'den türetilmiş bir anahtarla AES-GCM kullanılarak şifreleniyor.

Gerçek web sitelerinde çalışmak için eklenti, kullanıcının ziyaret ettiği sayfalardan Content-Security-Policy yanıt başlıklarını kaldıran dinamik declarativeNetRequest kuralları kaydediyor. Content script'ler daha sonra getirilen kodu gizli bir DOM öğesine event handler olarak ekliyor ve olayı tetikleyerek payload'u sayfanın ana dünyasında — meşru siteyle aynı JavaScript bağlamında — çalıştırıyor. Oradan itibaren davranış, hedef siteye ve kullanıcının ne yaptığına göre değişiyor.

Modüller ne çalıyor

Rapor, indirilen modüllere çok çeşitli hırsızlık yetenekleri atfediyor:

• EVM, Solana ve Tron cüzdanlarına ait bağlantı ve takas işlemleri ele geçirilerek kullanıcılar saldırgan kontrollü adreslere transfer onaylamaya yönlendiriliyor.
• Resmi Ledger ve Trezor arayüzlerini taklit eden tam ekran sayfalar 12, 18 veya 24 kelimelik kurtarma kelimelerini istiyor; bu kelimeler cüzdanın tamamını tehlikeye atıyor.
• Coinbase, Binance, Kraken, OKX, MEXC, KuCoin, Bybit ve MetaMask için oturumlar, token'lar, hesap ayrıntıları ve bakiye bilgileri toplanıyor.
• Rastgele sitelerdeki alanlardan kullanıcı adları, parolalar, e-posta adresleri ve form giriş değerleri toplanıyor.
• Facebook ve LinkedIn hesap verileri ile genel gezinme geçmişi dışarı aktarılıyor.

Kampanya ayrıca ClickFix tarzı sahte Chrome güncelleme istemleri de yayıyor. Talimatları izleyen kullanıcılar, panolarındaki komutları yapıştırıp cihazda yerel olarak çalıştırarak ele geçirmenin tarayıcının tamamen dışına taşınmasına neden oluyor.

Yöneticiler ve kullanıcılar ne yapabilir

Rapor, bilinen kötü amaçlı eklenti kimliklerinin kaldırılmasını ve engellenmesini, ayrıca yönetilen tarayıcılardan gereksiz yüksek ayrıcalıklı eklentilerin ayıklanmasını öneriyor. Kurumsal ortamlar eklenti allowlist'lerini zorunlu kılmalı ve sahiplik veya izin değişikliklerini izlemelidir; zira daha önce incelenmiş bir eklenti sessizce el değiştirebilir.

Ağ tarafında savunulabilir göstergeler arasında eklenti süreçlerinden C2 altyapısına giden WebSocket ve HTTPS trafiği yer alıyor; rapor .top, .pro ve .sbs TLD'lerindeki alan adlarını ve sızdırma için kullanılan Cloudflare Workers'ları — ws[.]site-signal[.]top ve ggle-analytics[.]com örnekleri listelenmiş — adlandırıyor. Endpoint tespiti, doğrudan tarayıcıdan başlatılan kabukları veya betik ortamlarını, özellikle pano etkinliğinden hemen sonrakileri işaretlemelidir. Kimlik sağlayıcıları ve kripto servislerinde yeniden kullanılan oturumlar, olağandışı cihaz veya konumlar ile MFA veya kurtarma ayarlarındaki değişiklikler kontrol edilmelidir.

Bireysel kullanıcılar için tavsiye daha basit: bir komutu yapıştırıp çalıştırmanızı veya bir cüzdan kurtarma kelimesini bir web sayfasına girmenizi isteyen her istemi, ne kadar meşru görünürse görünsün, kötü amaçlı olarak değerlendirin.

Neden önemli

Bu olay, tek bir açıktan çok tarayıcı eklentisi güven modelindeki bir boşluğu ortaya koyuyor. Kurulum sırasında bir eklentiyi dikkatle inceleyen kullanıcılar yine de tehlikeye düştü; çünkü tehdit, güvenlik yamaları için güvendikleri aynı imzalı, otomatik uygulanan güncelleme kanalı üzerinden geldi. Satın alma temelli saldırılar bunu daha da kötüleştiriyor: bir eklentinin itibarı, mevcut kullanıcılarına görünür bir sinyal verilmeden etkin biçimde satın alınabilir ve silaha dönüştürülebilir.

Güvenlik ekipleri için bu, eklenti envanterlerinin tek seferlik onaylar yerine sürekli izlenen varlıklar olarak ele alınmasını — kimlikler, sürümler, izinler ve sahipliğin zaman içinde takip edilmesini — destekliyor. Kripto para tutan herkes içinse, donanım cüzdanı kurtarma kelimelerinin bile ele geçirilmiş bir tarayıcı üzerinden phishing'lenebileceği ve kurtarma kelimesi isteyen hiçbir sayfaya asla güvenilmemesi gerektiği konusunda bir hatırlatma.