# 108 Chrome Extension đang âm thầm đánh cắp tài khoản của bạn – Bạn có nằm trong danh sách nạn nhân?

## **Tóm tắt chiến dịch**

Làm thế nào 108 Chrome extension độc lập — từ ứng dụng dịch văn bản đến các minigame tưởng chừng vô hại — có thể lách qua lớp kiểm duyệt bảo mật và âm thầm thao túng hơn 20.000 trình duyệt? Phân tích chuyên sâu cho thấy tất cả các tiện ích này đều là vỏ bọc, được giật dây bởi duy nhất một mạng lưới máy chủ C2 đứng sau theo mô hình Malware-as-a-Service (MaaS).

Chiến dịch tinh vi này không phá hoại thiết bị để tránh bị phát hiện; thay vào đó, chúng lặng lẽ hoạt động như một trinh sát nằm vùng: cướp đoạt định danh Google OAuth vĩnh viễn, "rút ruột" phiên đăng nhập Telegram Web định kỳ mỗi 15 giây và chèn backdoor trực tiếp vào giao diện nạn nhân. Câu hỏi đáng suy ngẫm cho mọi tổ chức là: liệu các công cụ dịch thuật hay sidebar mà nhân viên đang sử dụng hàng ngày có đang nộp thẳng dữ liệu nội bộ về máy chủ lạ? Hành động cấp thiết ngay lúc này là rà soát logs cài đặt extension và phong tỏa lập tức dải IP điều khiển để chặn đứng chuỗi rò rỉ tín nhiệm.

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/145178c9-7799-4688-a2e2-ed9247b700c6.png align="center")

## **Sự phát hiện và Phạm vi ảnh hưởng**

Theo như phân tích ban đầu, có chính xác 108 tiện ích mở rộng chứa mã độc đang hoặc đã được phát tán thông qua Chrome Web Store. Dù được ngụy trang cẩn thận và phát hành dưới danh nghĩa 5 nhà xuất bản (publisher) độc lập bao gồm Yana Project, GameGen, SideGames, Rodeo Games và InterAlt, toàn bộ số tiện ích này lại trỏ chung về một hệ thống máy chủ vận hành đằng sau.

Danh mục tiện ích bị lợi dụng khá đa dạng, nhắm tới mọi tệp người tiêu dùng: công cụ chat Telegram dạng sidebar, phần mềm đánh bạc (slot machine), module tối ưu độ nét YouTube/TikTok, tiện ích dịch đa ngôn ngữ và các tiện ích hiển thị web truyền thống. Những phần mềm mã độc này mang đầy đủ giao diện hoạt động như các quảng cáo mô tả để qua mặt người dùng, trong khi đó, những module tội

## **Quá trình khai thác**

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/1d945823-a62b-4505-87bd-4d84026e3e5f.png align="center")

**Initial Access (T1189 - Drive-by Compromise)**

Kẻ tấn công lừa nạn nhân cài đặt các tiện ích có vỏ bọc hợp lệ từ chính kho ứng dụng Chrome Web Store chính thức để thiết lập foothold (bàn đạp) cho các cuộc tấn công bên trong.

**Execution (T1059 - Command and Scripting Interpreter)**

Ngay khi trình duyệt khởi động, các scripts ẩn (ví dụ: `loadInfo()`) và background runtime sẽ được gọi để tự động thực thi các chu kỳ thu thập dữ liệu bằng cấp quyền cài đặt nền.

**Credential Access (T1539 - Steal Web Session Cookie / T1552 - Unsecured Credentials)**

**Tài khoản Google:** Extentsion gửi webhook gọi API OAuth2 của Google xin dữ liệu profile vĩnh viễn (subject ID, email, name).

**Tài khoản Telegram:** Malware chủ động truy vấn biến phân vùng `localStorage`, lấy ra key chứa tham số `user_auth` của Telegram Web một cách định kỳ.

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/43a28e6c-98e6-48de-b216-d4a4dd65e0b9.png align="center")

**Collection (T1114 - Email Collection/Info Theft)**

Các công cụ dịch văn bản lấy đi mọi chuỗi truy vấn ngôn ngữ của nạn nhân do có quyền đọc khung text input, gắn vào tham số X-Key và thu trộm. Mọi bản nháp, mọi tin nhắn bí mật nếu phải copy để chuyển ngữ đều bị ghi nhận.

**Command and Control (T1071.001 - Web Protocols)**

Tất cả dữ liệu chuyển lậu qua giao thức TLS thẳng tới các subdomain của `cloudapi[.]stream`. Kẻ tấn công duy trì C2 mạnh đến mức có thể gửi tham số HTML tùy chỉnh xuống, chèn backdoor bắt trình duyệt tải mã URL từ xa mà người dùng không thể can thiệp.

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/743b1d24-7e25-44ff-af14-2771b9a521e2.png align="center")

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/1cacbd71-5f74-46c4-9eac-275725ec14e3.png align="center")

## **Phân tích Kỹ thuật Chi tiết**

### **Cướp phiên đăng nhập Telegram theo chu kỳ**

Ở nhóm các extension giả mạo công cụ tích hợp Telegram (như Telegram Multi-account), malware tiến hành inject file `content.js` mục tiêu vào tên miền `https://web.telegram.org/*`. Hàm `getSessionDataJson()` sẽ quét và "vắt kiệt" phân vùng `localStorage`, trích xuất chuỗi xác thực phiên bản web và chuyển trực tiếp qua `chrome.runtime.sendMessage()`.

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/900cce25-5b92-4c86-97d8-54008df63ecb.png align="center")

Mức độ thao túng của C2 còn đạt điểm khó lường với lệnh webhook `set_session_changed`. Sau khi bắt được request, máy chủ sẽ xóa toàn bộ localStorage hiện tại rồi chèn thẳng token lạ vào. Thủ thuật này nhằm tống nạn nhân ra khỏi account thực tế của họ và dùng chính trình duyệt của nạn nhân để đăng nhập bằng một profile độc hại khác.

### **Khai thác định danh Google OAuth2**

Thay vì nỗ lực phishing mật khẩu mang lại rủi ro bị chặn cao, 54 extensions trong chiến dịch này tiếp cận Google identity ở tầng cơ sở hạ tầng. Bọn chúng sử dụng hàm `chrome.identity.getAuthToken` để xin cấp token từ người dùng. Sau khi thành công, dữ liệu mà extension gửi về máy chủ C2 là định danh vĩnh viễn `sub`, kèm email và tên gọi thật. Thu thập chỉ số `sub` giúp CRM của tội phạm xác định chéo và không bao giờ đánh mất trace của người dùng dẫu cho nạn nhân có thay đổi email sau này.

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/f19cd71b-910b-4d27-8651-cd75f15c67a2.png align="center")

100% Client IDs (khoảng 56 IDs) được cấu hình cho việc này chỉ thuộc về vỏn vẹn 2 Google Cloud projects: `1096126762051` và `170835003632`. Fact này tự nó đã phủ nhận bức rèm che đậy từ 5 cái tên nhà xuất bản tách biệt.

### **Universal Backdoor** `loadInfo()`

Một cửa sinh tử cho an ninh nội mạng nằm ngay ở tính năng backdoor `loadInfo()` rải trên ít nhất 45 files cấu hình background gốc. Lúc Chrome chuẩn bị khởi chạy, malware sẽ nối đến địa chỉ C2. Nếu response trả về tham số JSON `infoURL`, C2 buộc tiện ích bí mật tạo tab và điều hướng URL tức thì. Phân tích source cho thấy `loadInfo()` thường sử dụng thủ pháp `async/await` viết gọn trên format mã code minify, dấu hiệu của việc chèn mã ngoài thay vì từ nguồn code gốc chuyên nghiệp.

### **Xé Rào Cấu Hình Security Header**

Thay vì tấn công `webRequest`, 5 extension đã lạm dụng API `declarativeNetRequest` (một tính năng của Manifest V3 vốn được mệnh danh khắt khe hơn) để "stripping" bảo vệ:

*   Dỡ bỏ các chỉ thị `Content-Security-Policy` & `X-Frame-Options` của website mục tiêu (TikTok, YouTube).
    

*   Ép tham số `Access-Control-Allow-Origin: *`.
    
*   Làm giả `User-Agent`.
    

Khi mọi barriere đã bung gãy, mã độc ứng dụng DOM-injection bằng biến `innerHTML` chắp vá thiếu an toàn. Kết quả là việc tự động bơm những mã HTML rác, quảng cáo máy đánh bạc vào trực tiếp giao diện hoạt động YouTube và TikTok của nạn nhân.

## **Hạ tầng máy chủ điều khiển (C2)**

Bản phác họa backend của mạng lưới 108 malware phơi bày hoàn chỉnh hạ tầng C2 nằm tại Contabo GmbH VPS, IP `144.126.135.238`. Kiến trúc máy chủ dùng Strapi CMS với data core PostgreSQL, quy hoạch theo từng subdomain tác nghiệp chuẩn một hệ sinh thái Malware-as-a-Service:

*   `tg[.]cloudapi[.]stream`: Module exfiltration (Endpoint lưu vết với `/save_session.php`).
    
*   `mines[.]cloudapi[.]stream`: Endpoint phục vụ định danh Google, cung cấp payload `/user_info` cho tab-open backdoor.
    
*   `topup[.]cloudapi[.]stream`: Trạm phát hành portal thanh toán trả phí.
    

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/832483b2-bd43-4494-8f75-1473b3460fd6.png align="center")

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/2359b36b-0be3-432f-bd1e-21222ef408a0.png align="center")

## **Tác động chính của chiến dịch**

Thay vì tiến hành mã hóa tống tiền hay phá hủy hệ thống, chiến dịch rải thảm 108 extension này tập trung vào thu thập thông tin tình báo và khai thác lòng tin dài hạn. Chuỗi tác động trực tiếp bao gồm:

*   **Rò rỉ dữ liệu doanh nghiệp thầm lặng (DLP Bypass):** Các công cụ dịch thuật và xử lý văn bản đang tiếp tay gửi toàn bộ nội dung mà nhân viên thao tác về C2. Điều này dẫn đến nguy cơ lộ lọt source code, hợp đồng mật, và các bí mật kinh doanh mà các giải pháp DLP rà quét mạng lưới rất khó phát hiện do gói tin được mã hóa qua lớp TLS chuẩn của Chrome.
    
*   **Chiếm đoạt tài khoản diện rộng (Account Takeover - ATO):** Qua việc trộm token OAuth trực tiếp và đánh cắp dữ liệu localStorage của Telegram Web, kẻ tấn công duy trì một cánh cửa hậu để truy cập các tài nguyên nội bộ, bỏ qua hoàn toàn các bước xác thực 2 yếu tố (2FA/MFA). Nhờ vậy, chúng biến các tài khoản danh tính thực thành mồi nhử cho các chiến dịch phishing nội bộ tiếp theo.
    
*   **Lạm dụng và tấn công chuỗi cung ứng cục bộ:** Với backdoor `loadInfo()`, trình duyệt của hàng chục nghìn nhân sự có thể bị C2 ra lệnh mở tab chạy script để DDoS mục tiêu khác, tải payload độc hại cấp độ OS, hoặc đơn giản là thao túng nội dung hiển thị (DOM-injection) để chèn các quảng cáo tài chính, lừa đảo trực tiếp lên màn hình làm việc của họ.
    
*   **Vi phạm tính tuân thủ nghiêm trọng:** Bức tranh toàn cảnh phơi bày điểm yếu lớn trong quản lý thiết bị đầu cuối của tổ chức (BYOD hoặc thiếu chính sách Allowlist Extension). Nó đe dọa các tiêu chuẩn bảo mật khắt khe như ISO 27001 hay PCI DSS khi thiết bị mang đầy rủi ro chưa được kiểm soát chặt.
    

## **Nhận định chuyên gia**

Sự tiến hóa của phần mềm trên store chính quy thường tạo ra cảm giác an toàn thụ động, tuy nhiên rủi ro lại đang lớn dần trong kỷ nguyên Manifest V3. Rất nhiều kĩ sư an ninh mạng mặc định cập nhật Manifest V3 của Chrome sẽ "vá chặt" malware bằng cách triệt tiêu khả năng chặn/sửa đổi gói tin của `webRequest`. Ngược lại, chiến dịch 108 extension này minh chứng rõ ràng việc hacker đã thích nghi hoàn hảo qua việc lạm dụng API cung cấp sẵn – `declarativeNetRequest`. Chúng làm phai nhoà ranh giới giữa kiểm duyệt nội dung và xâm phạm Content-Security-Policy.

Xét trên bức tranh lớn, đây không phải hoạt động đánh cắp đơn lẻ cá nhân, mà là một quy trình kinh doanh tội phạm trơn tru (MaaS). Hệ thống backend quản lý định danh chéo (Google Subject ID), xây kho Telegram Sessions, duy trì module thanh toán riêng minh họa tổ chức hacker này có tầm vóc bài bản đáng kinh ngạc. Điểm chí mạng đối với các tổ chức nằm ở những plugin tưởng chừng sinh thái "Translation tool". Khi nhân viên sao chép và phiên dịch văn bản thông thường (hợp đồng nhạy cảm, mã code, cấu hình kiến trúc), họ phó mặc kênh trung gian này đẩy thô dữ liệu tới request ẩn `/Translation` của C2. Một Data Loss Prevention (DLP) solution hiện tại rất khó để bắt chừng những rò rỉ âm thầm đi qua lớp SSL/HTTPS vốn dĩ được ngộ nhận là tính năng ứng dụng tự nhiên.

## **Khuyến nghị**

**Immediate (0-24h)**

*   Rà soát hệ thống DNS filter, EDR và firewall web proxy, bắt buộc bổ sung các rules deny, block triệt để chiều in/out với domains tập hợp `*.cloudapi[.]stream`, `top[.]rodeo` và IP `144.126.135.238`.
    
*   Khởi động quét tập trung từ Endpoint Manager hoặc Active Directory toàn bộ các devices. Force Uninstall nếu dò tìm thấy match với chuỗi Extension ID có trong whitelist. Đồng thời cho Force-logout (revoke credentials) mọi session khả nghi tại hệ thống làm việc với Google.
    

**Short-term (1-7 ngày)**

*   Xây dựng SIEM Correlation Rules săn lùng các tác nhân lạ, đặc biệt là nhóm user-agent có lịch sử kết nối mạnh đến [`web.telegram.org`](http://web.telegram.org) hoặc [`https://www.googleapis.com/oauth2/v3/userinfo`](https://www.googleapis.com/oauth2/v3/userinfo) không đến từ ứng dụng Desktop/Web App chính dòng.
    
*   Thiết lập quy trình dọn dẹp các cache, token local tại các user khả nghi.
    

**Long-term**

*   Chuyển hẳn mô hình vận hành từ "Blocklist" thụ động sang "Allowlist" tích cực cho mọi Extension hoạt động tại thiết bị. Doanh nghiệp chỉ phê duyệt các plugin mà publisher có trust-tier và công khai repository bản vá. Chặn đứng các can thiệp từ extension tới internal domains.
    

## **MITRE ATT&CK**

*   T1176 - Browser Extensions
    
*   T1539 - Steal Web Session Cookie
    
*   T1528 - Steal Application Access Token
    
*   T1041 - Exfiltration Over C2 Channel
    
*   T1071.001 - Application Layer Protocol: Web Protocols
    
*   T1027 - Obfuscated Files or Information
    
*   T1185 - Browser Session Hijacking
    

## **Indicators of Compromise (IOCs)**

#### **Email address**

*   `kiev3381917@gmail[.]com`
    
*   `formatron.service@gmail[.]com`
    
*   [`nashprom.info`](http://nashprom.info)`@gmail[.]com`
    
*   `viktornadiezhdin@gmail[.]com`
    
*   `support@top[.]rodeo`
    
*   `slava.nadejdin.kiev@gmail[.]com`
    
*   `nadejdinv@gmail[.]com`
    

#### **Publisher name**

*   `Yana Project`
    
*   `GameGen`
    
*   `SideGames`
    
*   `Rodeo Games`
    
*   `InterAlt`
    

**Project Credentials**

*   Google Cloud Project: `1096126762051`
    
*   Google Cloud Project: `170835003632`
    

**Network Indicators**

*   `cloudapi[.]stream`
    
*   `tg[.]cloudapi[.]stream`
    
*   `mines[.]cloudapi[.]stream`
    
*   `topup[.]cloudapi[.]stream`
    
*   `cdn[.]cloudapi[.]stream`
    
*   `multiaccount[.]cloudapi[.]stream`
    
*   `wheel[.]cloudapi[.]stream`
    
*   `gamewss[.]cloudapi[.]stream`
    
*   `api[.]cloudapi[.]stream`
    
*   `chat[.]cloudapi[.]stream`
    
*   `crm[.]cloudapi[.]stream`
    
*   `top[.]rodeo`
    
*   `metal[.]cloudapi[.]stream`
    
*   `144[.]126[.]135[.]238`
    
*   `coin-miner[.]cloudapi[.]stream`
    
*   `goldminer[.]cloudapi[.]stream`
    
*   `herculessportslegend[.]cloudapi[.]stream`
    

**C2 Endpoints**

*   `tg[.]cloudapi[.]stream/save_session.php`
    
*   `tg[.]cloudapi[.]stream/count_sessions.php`
    
*   `tg[.]cloudapi[.]stream/get_sessions.php`
    
*   `tg[.]cloudapi[.]stream/get_session.php`
    
*   `tg[.]cloudapi[.]stream/delete_session.php`
    
*   `tg[.]cloudapi[.]stream/save_title.php`
    
*   `mines[.]cloudapi[.]stream/auth_google`
    
*   `mines[.]cloudapi[.]stream/user_info`
    
*   `mines[.]cloudapi[.]stream/slot_test/`
    
*   `api[.]cloudapi[.]stream:8443/Register`
    
*   `api[.]cloudapi[.]stream:8443/Translation`
    
*   `top[.]rodeo/server/remote.php`
    
*   `top[.]rodeo/server/remote3.php`
    
*   `top[.]rodeo/notify.php`
    
*   `cloudapi[.]stream/install/`
    
*   `cloudapi[.]stream/uninstall/`
    

**Chrome Extension IDs**

1.  [`obifanppcpchlehkjipahhphbcbjekfa`](https://socket.dev/chrome/package/obifanppcpchlehkjipahhphbcbjekfa/overview) - Telegram Multi-account
    
2.  [`mdcfennpfgkngnibjbpnpaafcjnhcjno`](https://socket.dev/chrome/package/mdcfennpfgkngnibjbpnpaafcjnhcjno/overview) - Web Client for Telegram - Teleside
    
3.  [`mmecpiobcdbjkaijljohghhpfgngpjmk`](https://socket.dev/chrome/package/mmecpiobcdbjkaijljohghhpfgngpjmk/overview) - YouSide - Youtube Sidebar
    
4.  [`bfoofgelpmalhcmedaaeogahlmbkopfd`](https://socket.dev/chrome/package/bfoofgelpmalhcmedaaeogahlmbkopfd/overview) - Web Client for Youtube - SideYou
    
5.  [`cbfhnceafaenchbefokkngcbnejached`](https://socket.dev/chrome/package/cbfhnceafaenchbefokkngcbnejached/overview) - Web Client for TikTok
    
6.  [`ogogpebnagniggbnkbpjioobomdbmdcj`](https://socket.dev/chrome/package/ogogpebnagniggbnkbpjioobomdbmdcj/overview) - Text Translation
    
7.  [`ldmnhdllijbchflpbmnlgndfnlgmkgif`](https://socket.dev/chrome/package/ldmnhdllijbchflpbmnlgndfnlgmkgif/overview) - Page Locker
    
8.  [`lnajjhohknhgemncbaomjjjpmpdigedg`](https://socket.dev/chrome/package/lnajjhohknhgemncbaomjjjpmpdigedg/overview) - Page Auto Refresh
    
9.  [`aecccajigpipkpioaidignbgbeekglkd`](https://socket.dev/chrome/package/aecccajigpipkpioaidignbgbeekglkd/overview) - Web Client for Rugby Rush - SideGame
    
10.  [`akebbllmckjphjiojeioooidhnddnplj`](https://socket.dev/chrome/package/akebbllmckjphjiojeioooidhnddnplj/overview) - Formula Rush Racing Game
     
11.  [`akifdnfipbeoonhoeabdicnlcdhghmpn`](https://socket.dev/chrome/package/akifdnfipbeoonhoeabdicnlcdhghmpn/overview) - Piggy Prizes - Slot Machine
     
12.  [`akkkopcadaalekbdgpdikhdablkgjagd`](https://socket.dev/chrome/package/akkkopcadaalekbdgpdikhdablkgjagd/overview) - Slot Arabian
     
13.  [`alkfljfjkpiccfgbeocbbjjladigcleg`](https://socket.dev/chrome/package/alkfljfjkpiccfgbeocbbjjladigcleg/overview) - Frogtastic
     
14.  [`alllblhkgghelnejlggmmgjbkdabidie`](https://socket.dev/chrome/package/alllblhkgghelnejlggmmgjbkdabidie/overview) - Black Beard Slot Machine
     
15.  [`amkkjdjjgiiamenbopfpdmjcleecjjgg`](https://socket.dev/chrome/package/amkkjdjjgiiamenbopfpdmjcleecjjgg/overview) - Indian - Slot Machine
     
16.  [`amnaljnjmgajgajelnplfmidgjgbjfhe`](https://socket.dev/chrome/package/amnaljnjmgajgajelnplfmidgjgbjfhe/overview) - Mahjong Deluxe
     
17.  [`bbjdlbemjklojnbifkgameepcafflmem`](https://socket.dev/chrome/package/bbjdlbemjklojnbifkgameepcafflmem/overview) - Crazy Freekick
     
18.  [`bdnanfggeppmkfhkgmpojkhanoplkacc`](https://socket.dev/chrome/package/bdnanfggeppmkfhkgmpojkhanoplkacc/overview) - Slot Car Racing
     
19.  [`bgdkbjcdecedfoejdfgeafdodjgfohno`](https://socket.dev/chrome/package/bgdkbjcdecedfoejdfgeafdodjgfohno/overview) - Clear Cache Plus
     
20.  [`bnchgibgpgmlickioneccggfobljmhjc`](https://socket.dev/chrome/package/bnchgibgpgmlickioneccggfobljmhjc/overview) - Galactica Delux - Slot Machine
     
21.  [`bpljfbcejldmgeoodnogeefaihjdgbam`](https://socket.dev/chrome/package/bpljfbcejldmgeoodnogeefaihjdgbam/overview) - Speed Test for Chrome - WiFi SpeedTest
     
22.  [`cbnekafldflkmngbgmbnfmchjaelnhem`](https://socket.dev/chrome/package/cbnekafldflkmngbgmbnfmchjaelnhem/overview) - Game SkySpeedster
     
23.  [`cdpiopekjeonfjeocbfebemgocjciepp`](https://socket.dev/chrome/package/cdpiopekjeonfjeocbfebemgocjciepp/overview) - Master Chess
     
24.  [`cehdkmmfadpplgchnbjgdngdcjmhlfcc`](https://socket.dev/chrome/package/cehdkmmfadpplgchnbjgdngdcjmhlfcc/overview) - Hockey Shootout
     
25.  [`cljengcehefhflhoahaambmkknjekjib`](https://socket.dev/chrome/package/cljengcehefhflhoahaambmkknjekjib/overview) - Odds Of The Gods - Slot Machine
     
26.  [`clpgopiimdjcilllcjncdkoeikkkcfbi`](https://socket.dev/chrome/package/clpgopiimdjcilllcjncdkoeikkkcfbi/overview) - Billiards Pro
     
27.  [`cmeoegkmpbpcoabhlklbamfeidebgmdf`](https://socket.dev/chrome/package/cmeoegkmpbpcoabhlklbamfeidebgmdf/overview) - Three Card Poker
     
28.  [`cmlbghnlnbjkdgfjlegkbjmadpbmlgjb`](https://socket.dev/chrome/package/cmlbghnlnbjkdgfjlegkbjmadpbmlgjb/overview) - Donuts - Slot Machine
     
29.  [`cnibdhllkgidlgmaoanhkemjeklneolk`](https://socket.dev/chrome/package/cnibdhllkgidlgmaoanhkemjeklneolk/overview) - Archer - Slot Machine
     
30.  [`cpnfioldnmhaihohppoaebillnambcgn`](https://socket.dev/chrome/package/cpnfioldnmhaihohppoaebillnambcgn/overview) - Rugby Rush
     
31.  [`dbohcpohlgnhgjmfkakoniiplglpfhcb`](https://socket.dev/chrome/package/dbohcpohlgnhgjmfkakoniiplglpfhcb/overview) - Bingo
     
32.  [`dcamdpfclondppklabgkfaofjccpioil`](https://socket.dev/chrome/package/dcamdpfclondppklabgkfaofjccpioil/overview) - Web Client for game Cricket Batter Challenge
     
33.  [`dljlpildgknddpnahppkihgodokfjbnd`](https://socket.dev/chrome/package/dljlpildgknddpnahppkihgodokfjbnd/overview) - Slot Machine Zeus Treasures
     
34.  [`dlpiookhionidajbiopmaajeckifeehn`](https://socket.dev/chrome/package/dlpiookhionidajbiopmaajeckifeehn/overview) - Horse Racing
     
35.  [`dmaibhbbpmdihedidicfeigilkbobcog`](https://socket.dev/chrome/package/dmaibhbbpmdihedidicfeigilkbobcog/overview) - Aztec - Slot Machine
     
36.  [`dohenclhhdfljpjlnpjnephpccbdgmmb`](https://socket.dev/chrome/package/dohenclhhdfljpjlnpjnephpccbdgmmb/overview) - Straight 4
     
37.  [`dpdemambcedffmnkfmkephnhhnclmcio`](https://socket.dev/chrome/package/dpdemambcedffmnkfmkephnhhnclmcio/overview) - Slot The Gold Pot
     
38.  [`ejlcbfmhjbkgohopdkijfgggbikgbacb`](https://socket.dev/chrome/package/ejlcbfmhjbkgohopdkijfgggbikgbacb/overview) - American Roulette Royale
     
39.  [`eljfpgehlncincemdmmnebmnlcmfamhm`](https://socket.dev/chrome/package/eljfpgehlncincemdmmnebmnlcmfamhm/overview) - Asia Slot
     
40.  [`enmmilgindjmffoljaojkcgloakmloen`](https://socket.dev/chrome/package/enmmilgindjmffoljaojkcgloakmloen/overview) - Web Client for game Drive Your Car
     
41.  [`eoklnfefipnjfeknpmigmogeeepddcch`](https://socket.dev/chrome/package/eoklnfefipnjfeknpmigmogeeepddcch/overview) - Jurassic Giants - Slot Machine
     
42.  [`fddajeklkkggbnppabbhkdmnkdjindlo`](https://socket.dev/chrome/package/fddajeklkkggbnppabbhkdmnkdjindlo/overview) - Street Basketball
     
43.  [`fibgndhgobbaaekmnneapojgkcehaeac`](https://socket.dev/chrome/package/fibgndhgobbaaekmnneapojgkcehaeac/overview) - Tarot Side Panel
     
44.  [`fjfhejmbhpabkacpoddjbcfandjoacmb`](https://socket.dev/chrome/package/fjfhejmbhpabkacpoddjbcfandjoacmb/overview) - Dragon Slayer - Slot Machine
     
45.  [`flkdjodmoefccepdihipjdlianmkmhgc`](https://socket.dev/chrome/package/flkdjodmoefccepdihipjdlianmkmhgc/overview) - Best Blackjack
     
46.  [`fmajpchoiahphjiligpmghnhmabolhoh`](https://socket.dev/chrome/package/fmajpchoiahphjiligpmghnhmabolhoh/overview) - Book Of Magic - Slot Machine
     
47.  [`gaafhblhbnkekenogcjniofhbicchlke`](https://socket.dev/chrome/package/gaafhblhbnkekenogcjniofhbicchlke/overview) - Snake - Slot Machine
     
48.  [`gbaoddbbpompjhmilbgiaapkkakldlpc`](https://socket.dev/chrome/package/gbaoddbbpompjhmilbgiaapkkakldlpc/overview) - Dice King - Classic Craps And Roll Game
     
49.  [`gbhhgipmedccnankkjchgcidiigmioio`](https://socket.dev/chrome/package/gbhhgipmedccnankkjchgcidiigmioio/overview) - Slot Ramses
     
50.  [`gfhcdakcnpahfdealajmhcapnhhablbp`](https://socket.dev/chrome/package/gfhcdakcnpahfdealajmhcapnhhablbp/overview) - Battleship War
     
51.  [`gipmochingljoikdjakkdolfcbphmlom`](https://socket.dev/chrome/package/gipmochingljoikdjakkdolfcbphmlom/overview) - Gold Miner 2
     
52.  [`glofhphmolanicdaddgkmhfmjidjkaem`](https://socket.dev/chrome/package/glofhphmolanicdaddgkmhfmjidjkaem/overview) - Greyhound Racing - Dog Race Simulator
     
53.  [`haochenfmhglpholokliifmlpafilfdc`](https://socket.dev/chrome/package/haochenfmhglpholokliifmlpafilfdc/overview) - Hercules: Sports Legend
     
54.  [`hbobdcfpgonejphpemijgjddanoipbkj`](https://socket.dev/chrome/package/hbobdcfpgonejphpemijgjddanoipbkj/overview) - Flicking Soccer
     
55.  [`hdmppejcahhppjhkncagagopecddokpi`](https://socket.dev/chrome/package/hdmppejcahhppjhkncagagopecddokpi/overview) - Voodoo Magic - Slot Machine
     
56.  [`heljkmdknlfhiecpknceodpbokeipigo`](https://socket.dev/chrome/package/heljkmdknlfhiecpknceodpbokeipigo/overview) - Web Client for Hockey Shootout - SideGame
     
57.  [`hiofkndodabpioiheinoiojjobadpgmj`](https://socket.dev/chrome/package/hiofkndodabpioiheinoiojjobadpgmj/overview) - MASTER CHECKERS
     
58.  [`hkbihmjhjmehlocilifheeaeiljabenb`](https://socket.dev/chrome/package/hkbihmjhjmehlocilifheeaeiljabenb/overview) - Watercraft Rush
     
59.  [`hlmdnedepbbihmbddepemmbkenbnoegd`](https://socket.dev/chrome/package/hlmdnedepbbihmbddepemmbkenbnoegd/overview) - Car Rush
     
60.  [`hmlnefhgicedcmebmkjdcogieefbaagl`](https://socket.dev/chrome/package/hmlnefhgicedcmebmkjdcogieefbaagl/overview) - Video Poker Deuces Wild
     
61.  [`hnpbijogiiaegambgpaenjbcbgaeimlf`](https://socket.dev/chrome/package/hnpbijogiiaegambgpaenjbcbgaeimlf/overview) - Slot Machine Ultimate Soccer
     
62.  [`ibelidmkbnjmmpjgfibbdbkamgcbnjdm`](https://socket.dev/chrome/package/ibelidmkbnjmmpjgfibbdbkamgcbnjdm/overview) - Christmas Eve - Slot Machine
     
63.  [`ihbkmfoadnfjgkpdmgcboiehapkiflme`](https://socket.dev/chrome/package/ihbkmfoadnfjgkpdmgcboiehapkiflme/overview) - Columbus Voyage - Slot Machine
     
64.  [`ijccacgjefefdpglhclnbpfjlcbagafm`](https://socket.dev/chrome/package/ijccacgjefefdpglhclnbpfjlcbagafm/overview) - High or Low Casino Game
     
65.  [`ijfmkphjcogaealhjgijjfjlkpdhhojk`](https://socket.dev/chrome/package/ijfmkphjcogaealhjgijjfjlkpdhhojk/overview) - Goalkeeper Challenge
     
66.  [`ijpgccpmogehkjhdmomckpkfcpbjlmnj`](https://socket.dev/chrome/package/ijpgccpmogehkjhdmomckpkfcpbjlmnj/overview) - Tropical Beach - Slot Machine
     
67.  [`imjmnghlhiimodfkdkgnfplhlobehnpm`](https://socket.dev/chrome/package/imjmnghlhiimodfkdkgnfplhlobehnpm/overview) - BlackJack 3D
     
68.  [`jddinhnhplibccfmniaakhffpjpnaglp`](https://socket.dev/chrome/package/jddinhnhplibccfmniaakhffpjpnaglp/overview) - Web Client for game Classic Bowling
     
69.  [`jmopjanoebpdbopigcbpjhiigmjolikk`](https://socket.dev/chrome/package/jmopjanoebpdbopigcbpjhiigmjolikk/overview) - Raging Zeus Mines
     
70.  [`jnmmbmkmbkcccpihjgnhjmhhkokfdnfe`](https://socket.dev/chrome/package/jnmmbmkmbkcccpihjgnhjmhhkokfdnfe/overview) - Classic Backgammon
     
71.  [`jodocbbdcdclkhjkibnlfhbmllcpfkfo`](https://socket.dev/chrome/package/jodocbbdcdclkhjkibnlfhbmllcpfkfo/overview) - Slot Machine The Fruits
     
72.  [`kahcolfecjbejjjadhjafmihdnifonjf`](https://socket.dev/chrome/package/kahcolfecjbejjjadhjafmihdnifonjf/overview) - Baccarat
     
73.  [`kblomapfkjidbbbdllmofkcakcenkmec`](https://socket.dev/chrome/package/kblomapfkjidbbbdllmofkcakcenkmec/overview) - Mini Golf World
     
74.  [`kbmindomjiejdikjaagfdbdfpnlanobi`](https://socket.dev/chrome/package/kbmindomjiejdikjaagfdbdfpnlanobi/overview) - Gold Rush - Slot Machine
     
75.  [`kbnkkecifeppobnemkielnpagifkobki`](https://socket.dev/chrome/package/kbnkkecifeppobnemkielnpagifkobki/overview) - Pirat Slot
     
76.  [`kjnakdbpijigdbfepipnbafnhbcfdkga`](https://socket.dev/chrome/package/kjnakdbpijigdbfepipnbafnhbcfdkga/overview) - 40 Imperial Crown - Slot Machine
     
77.  [`kknakidneabpfgepadgpkibalcnabnnh`](https://socket.dev/chrome/package/kknakidneabpfgepadgpkibalcnabnnh/overview) - 3D Soccer Slot Machine
     
78.  [`klglejfbdeipgklgaepnodpjcnhaihkd`](https://socket.dev/chrome/package/klglejfbdeipgklgaepnodpjcnhaihkd/overview) - Premium Horse Racing
     
79.  [`kmiidcaojgeepjlccoalkdimgpfnbagj`](https://socket.dev/chrome/package/kmiidcaojgeepjlccoalkdimgpfnbagj/overview) - Tanks Game
     
80.  [`lcijkepobdokkgmefebkiejhealgblle`](https://socket.dev/chrome/package/lcijkepobdokkgmefebkiejhealgblle/overview) - Caribbean Stud Poker
     
81.  [`lefndgfmmbdklidbkeifpgclmpnhcilg`](https://socket.dev/chrome/package/lefndgfmmbdklidbkeifpgclmpnhcilg/overview) - Wild Buffalo - Slot Machine
     
82.  [`lfkknbmaifjomagejflmjklcmpadmmdg`](https://socket.dev/chrome/package/lfkknbmaifjomagejflmjklcmpadmmdg/overview) - Aqua - Slot Machine
     
83.  [`ljbgkfbiifhpgpipepnfefijldolkhlm`](https://socket.dev/chrome/package/ljbgkfbiifhpgpipepnfefijldolkhlm/overview) - Game Crypto Merge
     
84.  [`lmcpbhamfpbonaenickjclacodolkbdl`](https://socket.dev/chrome/package/lmcpbhamfpbonaenickjclacodolkbdl/overview) - Sherwood Forest - Slot Machine
     
85.  [`lmgenhmehbcolpikplhkoelmagdhoojn`](https://socket.dev/chrome/package/lmgenhmehbcolpikplhkoelmagdhoojn/overview) - Web Client for game Fatboy Dream
     
86.  [`maeccdadgnadblfddcmanhpofobhgfme`](https://socket.dev/chrome/package/maeccdadgnadblfddcmanhpofobhgfme/overview) - Lone Star Jackpots - Slot Machine
     
87.  [`medkneifmjcpgmmibfppjpfjbkgbgebl`](https://socket.dev/chrome/package/medkneifmjcpgmmibfppjpfjbkgbgebl/overview) - Hidden Kitty Game
     
88.  [`mheomooihiffmcgldolenemmplpgoahn`](https://socket.dev/chrome/package/mheomooihiffmcgldolenemmplpgoahn/overview) - Keno
     
89.  [`mmbbjakjlpmndjlbhihlddgcdppblpka`](https://socket.dev/chrome/package/mmbbjakjlpmndjlbhihlddgcdppblpka/overview) - Jokers Bonanza - Slot Machine
     
90.  [`mmbkmjmlnhocfcnjmbchmflamalekbnb`](https://socket.dev/chrome/package/mmbkmjmlnhocfcnjmbchmflamalekbnb/overview) - Penalty Kicks
     
91.  [`nbgligggjfgkpphhghhjdoiefbimgooc`](https://socket.dev/chrome/package/nbgligggjfgkpphhghhjdoiefbimgooc/overview) - Pai Gow Poker
     
92.  [`ncpdkpcgmdhhnmcjgiiifdhefmekdcnf`](https://socket.dev/chrome/package/ncpdkpcgmdhhnmcjgiiifdhefmekdcnf/overview) - Metal Calculator
     
93.  [`ndajcmifndknmkckdcdefkpgcodciggk`](https://socket.dev/chrome/package/ndajcmifndknmkckdcdefkpgcodciggk/overview) - Farm - Slot Machine
     
94.  [`nelbpdjegmhhgpfcjclhdmkcglimkjpp`](https://socket.dev/chrome/package/nelbpdjegmhhgpfcjclhdmkcglimkjpp/overview) - Rail Maze Puzzle
     
95.  [`nkacmelgoeejhjgmmgflbcdhonpaplcg`](https://socket.dev/chrome/package/nkacmelgoeejhjgmmgflbcdhonpaplcg/overview) - RED DOG CARD GAME
     
96.  [`nmegibgeklckejdlfhoadhhbgcdjnojb`](https://socket.dev/chrome/package/nmegibgeklckejdlfhoadhhbgcdjnojb/overview) - Coin Miner 2
     
97.  [`nodobilhjanebkafmpihkpoabiggnnfl`](https://socket.dev/chrome/package/nodobilhjanebkafmpihkpoabiggnnfl/overview) - Black Ninja - Slot Machine
     
98.  [`oanpifaoclmgmflmddlgkikfaggejobn`](https://socket.dev/chrome/package/oanpifaoclmgmflmddlgkikfaggejobn/overview) - Pyramid Solitaire
     
99.  [`ocflhkadmmnlbieoiiekfcdcmjcfeahe`](https://socket.dev/chrome/package/ocflhkadmmnlbieoiiekfcdcmjcfeahe/overview) - Chrome Client for Downhill Ski - SideGame
     
100.  [`odeccdcabdffpebnfancpkepjeecempn`](https://socket.dev/chrome/package/odeccdcabdffpebnfancpkepjeecempn/overview) - Slot Machine Mr Chicken
      
101.  [`oejhnncfanbaogjlbknmlgjpleachclf`](https://socket.dev/chrome/package/oejhnncfanbaogjlbknmlgjpleachclf/overview) - Web Client for French Roulette - SideGame
      
102.  [`ogbaedmbbmmipljceodeimlckohbnfan`](https://socket.dev/chrome/package/ogbaedmbbmmipljceodeimlckohbnfan/overview) - 3D Roulette Casino Game
      
103.  [`ojkbafekojdcedacileemekjdfdpkbkf`](https://socket.dev/chrome/package/ojkbafekojdcedacileemekjdfdpkbkf/overview) - Slot Machine Space Adventure
      
104.  [`pdgaknahllnfldmclpcllpieafkaibmf`](https://socket.dev/chrome/package/pdgaknahllnfldmclpcllpieafkaibmf/overview) - Whack 'em All
      
105.  [`peflgkmfmoijonfgcjdlpnnfdegnlaji`](https://socket.dev/chrome/package/peflgkmfmoijonfgcjdlpnnfdegnlaji/overview) - Video Poker Jacks or Better
      
106.  [`phfkdailnomcbcknpdmokejhellbecjb`](https://socket.dev/chrome/package/phfkdailnomcbcknpdmokejhellbecjb/overview) - Swimming Pro
      
107.  [`pkghgkfjhjghinikeanecbgjehojfhdg`](https://socket.dev/chrome/package/pkghgkfjhjghinikeanecbgjehojfhdg/overview) - InterAlt
      
108.  [`pllkanemicadpcmkfodglahcocfdgkhj`](https://socket.dev/chrome/package/pllkanemicadpcmkfodglahcocfdgkhj/overview) - Gold of Egypt - Slot Machine
      

## Tham khảo

[https://socket.dev/blog/108-chrome-ext-linked-to-data-exfil-session-theft-shared-c2](https://socket.dev/blog/108-chrome-ext-linked-to-data-exfil-session-theft-shared-c2)  
[https://arstechnica.com/security/2025/04/researcher-uncovers-dozens-of-sketchy-chrome-extensions-with-4-million-installs/](https://arstechnica.com/security/2025/04/researcher-uncovers-dozens-of-sketchy-chrome-extensions-with-4-million-installs/)