Владелец двух MacBook заразился через поддельное расширение Notion Web Clipper для Chrome и лишился 230 тысяч долларов в эфире. Вредоносную программу в итоге нашел ИИ-агент Claude Code.
Пользователь X под ником starmexxx рассказал, что на двух его MacBook обнаружились шпионская программа и бэкдор, то есть скрытый канал удаленного доступа к системе. Из криптокошелька MetaMask у него похитили эфир на 230 тысяч долларов. Заражение удалось найти с помощью ИИ-агента Claude Code от Anthropic. По словам автора поста, сервер, на который уходили украденные данные, был зарегистрирован на имя Li Wei и находился в облаке Tencent Cloud в Шэньчжэне.
Атака началась с расширения для Chrome под названием Notion Web Clipper. Название полностью совпадает с официальным инструментом Notion для сохранения веб-страниц, у которого больше миллиона пользователей. У поддельной версии было всего 12 установок. Вторую машину пользователь не заражал сам: когда он вошел в аккаунт Google в браузере, функция синхронизации Chrome автоматически поставила фальшивое расширение и туда. Так вредоносная программа оказалась и на MacBook с M1 Pro, и на MacBook с M5 Pro.
На обоих компьютерах злоумышленник действовал по-разному. С первого он извлек приватные ключи криптокошелька MetaMask и в 4 часа утра вывел эфир на 230 тысяч долларов. На втором похитили пароли, сохраненные в Safari и Chrome, а заодно резервные коды двухфакторной аутентификации, которые позволяют войти в аккаунт без второго подтверждения.
Проблему пользователь отследил, когда поручил Claude Code проверить систему. ИИ-агент нашел скрытые фоновые процессы и установил, куда уходят данные. Выяснилось, что программа в реальном времени передавала на сервер в Шэньчжэне сведения о местоположении. Кроме того, каждую ночь около 4 утра на тот же сервер отправлялось примерно 40 МБ данных.
Источник: hi-tech.mail.ru