Microsoft повідомила, що видалила 119 шкідливих розширень із Microsoft Edge Add-ons після розслідування кампанії StegoAd. Розширення виглядали як звичайні блокувальники реклами, VPN-помічники, перекладачі та інструменти для відео, але могли ховати payloads у файлах зображень і шрифтів, викрадати облікові дані та session cookies, а також завантажувати додатковий код у браузер.
Для користувача важливо не лише те, що розширення прибрали з магазину. Воно могло залишитися у профілі Edge, повернутися через синхронізацію або бути встановленим на іншому пристрої. Якщо ви ставили безкоштовне розширення Edge від незнайомого розробника, особливо блокувальник реклами чи downloader, перевірте браузер і захистіть акаунти, якими користувалися в ньому.
Кому варто перевірити Edge
Відкрийте edge://extensions і перегляньте всі встановлені розширення, включно з вимкненими. Кампанія StegoAd використовувала звичні категорії, тому назва або корисна функція розширення не є гарантією безпеки.
| Встановлювали безкоштовний ad blocker, VPN, перекладач або downloader | Видаліть усе незнайоме, а потім перевірте сесії та збережені паролі. |
| Сторінка розширення у магазині Edge вже недоступна | Видаліть розширення, а не чекайте на оновлення чи “виправлення”. |
| Ви адмініструєте WordPress із цього браузера | Змініть паролі адміністраторів і перегляньте користувачів, плагіни та історію входів. |
| Антивірус бачить підозрілі cookies, дані браузера або файли розширень | Залиште виявлення в карантині, приберіть джерело розширення і перевірте систему ще раз після перезавантаження. |
Приклади зі списку розширень StegoAd від Microsoft
У technical report Microsoft є повна IOC-таблиця зі шкідливими extension IDs. Приклади нижче не є повним списком і не є рейтингом популярності; це впізнавані назви з report, які користувач може помітити на сторінці розширень Edge.
- Adblock for Youtube
afakckepbbffmnoghgpfnnebijeahjcb - AI Search GPT for Edge
beemogkfhphmjghmkghdaggidgohohee - Free Online Video Downloader
bpdanoaacmebjgfjdmekfcfgmnaoekim - Turbo Download Manager
bpjnmlookdfciblphehedlcbpmignahe - TikTok APP for Edge
celdediiemogjpfcjocdbildilkccepl - Google Translate in Right Click
fcoongackakfdmiincikmjgkedcgjkdp - Adblocker FX
fkkoeecbjckjpnmenebojblcljjgbpoj - Image Downloader Pro
gnbnbmnldhfoplgjojhepikgjanaplle - Trusted VPN for Edge – Free VeePN
klmfgbnlbfgpdenpdddpdfigmnkmchil - Adblock (µBlock clone)
kmiahfbflcnmlobepelpgkmolhodmiek - VPN
pdnjhppcgkdbjolbeplcabkcfmpnbjmh - Similar Sites – Discover Related Websites
fifeankddgioinbcchlokclbcgjlopjj
Щоб перевірити збіг, відкрийте edge://extensions, за потреби увімкніть developer details, скопіюйте extension ID і порівняйте його з report Microsoft. Якщо ID збігається, видаліть розширення, призупиніть синхронізацію на час очищення та захистіть акаунти, якими користувалися в цьому браузері.
Що робив StegoAd
Microsoft описує StegoAd як довготривалу кампанію розширень, активну щонайменше з 2021 року. Зловмисник використовував понад 90 одноразових developer identities і робив так, щоб розширення спершу виконували реальну корисну функцію. Через це вони виглядали легітимно для користувачів і перевіряльників.
Небезпека з’являлася після встановлення. За даними Microsoft, шлях доставки payloads використовував затримку запуску, серверну перевірку та прихований код у ресурсах зображень або шрифтів. Не кожне встановлення запускало payload, але знайдені модулі включали викрадення облікових даних і сесій, affiliate hijacking, доставку додаткового коду, збір WordPress admin credentials і приховану телеметрію.
Це особливо небезпечно для браузера: розширення працюють поруч із логінами, cookies, вмістом сторінок і формами. Шкідливому розширенню не обов’язково ставити звичайну Windows-програму, щоб створити ризик для акаунтів.
Що зробити зараз
- Відкрийте сторінку розширень Edge і видаліть незнайомі ad blockers, VPN-помічники, перекладачі, downloaders, coupon tools і все, чия сторінка в магазині вже зникла.
- Перед видаленням відкрийте деталі розширення та запишіть назву, extension ID, розробника, дозволи й дату встановлення.
- На час очищення призупиніть синхронізацію браузера, інакше небезпечне розширення або налаштування можуть повернутися з іншого пристрою.
- Перезапустіть Edge і знову перевірте edge://extensions та edge://policy. Якщо розширення повертається або позначене як managed, потрібна глибша перевірка джерела.
- Змініть паролі Google, Microsoft, пошти, банкінгу, криптогаманців, хостингу та WordPress-акаунтів, у які входили з цього браузера. За можливості завершіть інші активні сесії.
- Перевірте недавню активність акаунтів і журнали WordPress admin, якщо керуєте сайтом з Edge.
- Запустіть повну перевірку системи, якщо розширення завантажувало файли, попередження повертаються або з’явилися невідомі startup items, scheduled tasks, proxy-зміни чи browser policies.
Якщо розширення могло викрасти cookies або паролі, його видалення не завершує очищення. Локальна перевірка допомагає знайти bundled payloads, persistence, підозрілі зміни браузера та інші компоненти, які не зникають разом із розширенням.
Додаткова перевірка: якщо підозріле розширення було активним, перевірте Windows на bundled payloads, startup items, scheduled tasks і зміни браузера за допомогою Gridinsoft Anti-Malware, а після очищення змініть паролі з чистої сесії.
Чим це відрізняється від звичайного ризику розширень
Багато небезпечних розширень збирають зайві дані або показують рекламу. StegoAd серйозніший, бо Microsoft описує приховану доставку payloads і модулі для викрадення credentials, session cookies та WordPress admin credentials. Це вже не просто privacy cleanup, а перевірка акаунтів і сесій.
Перед встановленням нових add-ons обирайте відомих розробників, уникайте доступу до всіх сайтів без зрозумілої причини та видаляйте інструменти, які були потрібні лише один раз. Старий чекліст про ризики безкоштовних розширень браузера допомагає оцінити дозволи перед встановленням.
FAQ
Чи кожне встановлення StegoAd запускало шкідливий код?
Ні. Microsoft зазначає, що не кожне встановлення запускало payload через затримки, імовірнісні перевірки та серверну валідацію. Але підозріле розширення все одно варто видалити, а важливі акаунти захистити.
Чи достатньо просто видалити розширення?
Ні, якщо воно могло викрасти паролі або session cookies. Видалення прибирає add-on, але не змінює паролі й не завершує вже викрадені сесії.
Це стосується лише Edge?
Оприлюднені видалення стосуються Microsoft Edge Add-ons, але урок ширший: дозволи розширень, довіра до розробника, синхронізація та прихована доставка payloads важливі для всіх Chromium-браузерів.
Джерела
- Microsoft Edge Extensions Security Team. “Inside StegoAd: How We Disrupted a Massive Malicious Extension Campaign.” Microsoft Browser Vulnerability Research, published June 16, 2026, accessed June 29, 2026. https://microsoftedge.github.io/edgevr/posts/Inside-StegoAd-How-We-Disrupted-a-Massive-Malicious-Extension-Campaign/
- Microsoft Edge Extensions Security Team. “Microsoft Edge Security Blog: StegoAd Campaign Analysis.” Microsoft technical report, published June 2026, accessed June 29, 2026. https://microsoftedge.github.io/edgevr/assets/files/stego_ad/Microsoft_Edge_Security_StegoAd.pdf
