Аналитики Microsoft обнаружили вредоносное расширение для Chrome, которое маскировалось под ИИ-поисковик Perplexity. Расширение назначало себя поисковой системой по умолчанию и передавало своим операторам как сами поисковые запросы жертв, так и весь текст, набранный в адресной строке.

Вредоносное расширение называлось Search for perplexity ai (flkebkiofojicogddingbdmcmkpbplcd), тогда как настоящее расширение Perplexity носит имя Perplexity – AI Search. При этом для убедительности злоумышленники даже использовали домен perplexity-ai[.]online, похожий на официальный perplexity.ai.

После установки расширение с помощью chrome_settings_overrides назначало себя поисковой системой по умолчанию. В результате все запросы из адресной строки сначала попадали на сервер злоумышленников, где записывались текст запроса, IP-адрес жертвы и User-Agent, а также заголовки браузера. После этого пользователя перенаправляли в настоящий Perplexity, Google или Bing, из-за чего результаты поиска выглядели как обычно, а перехват данных происходил незаметно для пользователя.

Кроме того, расширение подменяло адрес для поисковых подсказок (suggest_url). В результате на сервер злоумышленников в режиме реального времени передавались не только поисковые запросы, но и весь текст, введенный в поисковой строке (еще до того, как пользователь нажимал клавишу Enter).

Исследователи отмечают, что не нашли прямых свидетельств того, что расширение воровало пароли или другие учетные данные. Однако запрашиваемые разрешения позволяли фальшивому Perplexity перенаправлять трафик пользователей, модифицировать URL и отслеживать срабатывание правил. Для этого вредонос использовал разрешения declarativeNetRequest.

В отчете специалистов не уточняется, кто стоял за Search for perplexity ai, и сколько пользователей успели установить вредоносное расширение. Тем, у кого расширение осталось в браузере, рекомендуется удалить его, проверить поисковую систему по умолчанию, и в качестве дополнительное меры предосторожности сменить пароли от важных учетных записей.