Defender: AI-расширения крадут истории чатов LLM

Введение: почему это важно

Расширения для браузера с AI-помощниками становятся распространёнными «продуктивными» дополнениями для специалистов умственного труда, особенно для быстрого доступа к таким инструментам, как ChatGPT и DeepSeek. Расследование Microsoft Defender показывает, как это удобство может превратиться в корпоративный канал утечки данных: «двойник» расширения, установленный из доверенного маркетплейса, способен непрерывно собирать и эксфильтрировать чувствительные промпты, ответы и внутренние URL — при этом не ведя себя как традиционное вредоносное ПО.

Что нового / ключевые выводы

Microsoft Defender исследовала вредоносные расширения Chromium, которые:

• Имитируют легитимные расширения AI-помощников, используя узнаваемый брендинг и запросы разрешений (Defender отмечает подражание известным инструментам, таким как AITOPIA).
• Собирают содержимое чатов LLM и телеметрию браузинга, включая:
  • Полные посещённые URL (включая внутренние сайты)
  • Фрагменты чатов (промпты и ответы) с таких платформ, как ChatGPT и DeepSeek
  • Идентификаторы модели, контекст навигации и постоянный UUID
• Закрепляются как обычные расширения (автоперезагрузка при запуске браузера, хранение телеметрии в локальном хранилище расширения).
• Периодически эксфильтрируют данные через HTTPS POST, что может выглядеть как обычный веб-трафик.

Согласно отчётности Defender, расширения достигли ~900 000 установок, а телеметрия Defender подтверждает активность в 20 000+ корпоративных тенантах.

Как работает атака (в общих чертах)

• Доставка: публикация в Chrome Web Store с описаниями на AI-тематику. Поскольку Microsoft Edge поддерживает расширения из Chrome Web Store, одна и та же публикация обеспечивает охват сразу нескольких браузеров.
• Эксплуатация доверия и разрешений: широкие разрешения расширений Chromium позволяли наблюдать за содержимым страниц и активностью браузинга. Использовался вводящий в заблуждение механизм согласия, а обновления могли повторно включать сбор телеметрии по умолчанию даже после отказа пользователя.
• Командование и управление: периодические выгрузки на домены, контролируемые злоумышленниками, такие как deepaichats[.]com и chatsaigpt[.]com, с очисткой локальных буферов после передачи для уменьшения артефактов.

Влияние на IT-администраторов и конечных пользователей

• Риск утечки данных: промпты часто содержат проприетарный код, внутренние процессы, обсуждения стратегии, учётные данные, вставленные в чаты, и другой конфиденциальный контент. Эксфильтрация полных URL может раскрывать структуру внутренних приложений и чувствительные строки запросов.
• Риски для соответствия требованиям и приватности: перехваченная история чатов может содержать регулируемые или персональные данные, усложняя выполнение требований по хранению, eDiscovery и резидентности данных.
• Риск расширений становится «постоянно включённым»: в отличие от одноразовой фишинговой атаки, вредоносное расширение может обеспечивать непрерывную видимость активности пользователя между сессиями.

Рекомендуемые действия / следующие шаги

1. Ищите и блокируйте известные конечные точки эксфильтрации, мониторя исходящий трафик HTTPS POST и применяя сетевые меры контроля для:
   • *.chatsaigpt.com
   • *.deepaichats.com
   • *.chataigpt.pro
   • *.chatgptsidebar.pro
2. Инвентаризируйте и аудируйте расширения браузера на управляемых конечных точках, уделяя особое внимание AI/side-bar инструментам с широкими разрешениями на сайты.
3. Ужесточите управление расширениями:
   • Используйте allowlisting для утверждённых расширений
   • По возможности ограничьте источники установки
   • Проверяйте поведение обновлений и дрейф разрешений
4. Используйте Microsoft Defender Vulnerability Management для запуска Browser extensions assessment, выявляйте рискованные расширения и приоритизируйте исправления.
5. Обучайте пользователей: относитесь к AI-чатам как к чувствительным коммуникациям — не вставляйте секреты, токены или проприетарный контент, если инструмент и путь доступа не утверждены явно.