Onderzoekers hebben in de officiële Chrome Web Store 89 malafide extensies aangetroffen die bij elkaar ruim 400.000 gebruikers hebben besmet, zo laat anti-virusbedrijf Trend Micro vandaag weten. De besmette Chrome-installaties werden onderdeel van een botnet genaamd Droidclub.

Het botnet werd gebruikt om advertenties in tabs te injecteren en de computer naar cryptovaluta te laten minen. Daarnaast werden gebruikers via zogeheten session replay scripts bespioneerd. Het is volgens de onderzoekers de eerste keer dat cybercriminelen misbruik van session replay scripts maken. Deze scripts slaan het gedrag van de gebruiker op een website op, zodat dit later door de eigenaar van de website kan worden bekeken. Net alsof er iemand met een notitieboekje achter de gebruiker staat terwijl hij de website bezoekt.

Het beoogde doel van dergelijke scripts is om inzicht te krijgen in hoe gebruikers de website gebruiken en verwarrende of niet meer bestaande pagina's te ontdekken. Replay scripts kunnen echter ook informatie van de gebruiker versturen, zoals ingevulde wachtwoorden of creditcardgegevens. Eind vorig jaar waarschuwden onderzoekers al voor de aanwezigheid van session replay scripts op websites. "Andere onderzoekers hebben gewezen op de mogelijkheid dat deze scripts kunnen worden misbruikt, maar het is de eerste keer dat we dit in het wild zien", zegt Trend Micro-onderzoeker Jospeh Chen.

Om gebruikers de kwaadaardige Chrome-extensies te laten installeren werd er van malafide advertenties gebruik gemaakt. De advertenties lieten zogenaamde foutmeldingen zien waarin gebruikers werd opgeroepen om de extensie te installeren. Naar schatting zouden bijna 424.000 gebruikers de extensies op deze manier hebben geïnstalleerd. Eenmaal actief opende de malafide extensie willekeurige tabs met advertenties en liet de computer naar de cryptovaluta Monero minen. Verder injecteert de extensie op bezochte websites een session replay script. Na te zijn ingelicht heeft Google de extensie uit de Web Store verwijderd en bij Chrome-gebruikers uitgeschakeld.