131 Tiện Ích Mở Rộng Chrome Bị Phát Hiện Chiếm Quyền Điều Khiển Trình Duyệt

Trong một phát hiện chấn động mới nhất, các nhà nghiên cứu an ninh mạng từ công ty Socket đã vạch trần chiến dịch spam quy mô lớn sử dụng 131 extension Chrome giả mạo, được thiết kế để "khủng bố" WhatsApp Web bằng cách tự động hóa gửi tin nhắn hàng loạt mà không cần sự đồng ý của người dùng. Những extension này đã lây lan trên Chrome Web Store trong ít nhất 9 tháng qua, ảnh hưởng đến khoảng 20.905 người dùng hoạt động.

Dù không phải là phần mềm độc hại cổ điển (malware), chúng được phân loại là "spamware" cao nguy cơ, vi phạm nghiêm trọng chính sách của Google Chrome Web Store về nội dung trùng lặp và gửi tin nhắn không được phép. Chiến dịch này không chỉ làm ngập WhatsApp bằng spam mà còn có nguy cơ dẫn đến tài khoản bị khóa, đánh cắp dữ liệu liên hệ và lan truyền lừa đảo.

Tổng quan

Các extension này là các bản clone được rebrand từ một công cụ tự động hóa WhatsApp Web duy nhất, chia sẻ codebase, thiết kế và hạ tầng giống hệt nhau. Chúng được phát hành chủ yếu bởi hai tài khoản developer: "WL Extensão" (83 extension) và biến thể "WLExtensao", liên kết với công ty DBX Tecnologia tại Brazil – một chương trình white-label cho phép affiliate rebrand và bán lại.

Chúng ngụy trang dưới dạng công cụ CRM cho WhatsApp, hứa hẹn:

Tự động hóa tin nhắn hàng loạt (bulk messaging)
Lên lịch gửi tin
Quản lý lead, phễu bán hàng trực quan
Tổ chức dịch vụ khách hàng

Tên Extension Nổi Bật	Số Người Dùng	Developer	Chức Năng Giả Mạo
YouSeller	10.000	WL Extensão	CRM bán hàng WhatsApp
performancemais	239	WL Extensão	Tối ưu hóa hiệu suất
Botflow	38	WL Extensão	Tự động hóa bot
ZapVende	32	WLExtensao	Phễu bán hàng

Danh sách đầy đủ 131 extension từ báo cáo của Socket (socket.dev/blog).

gioekliddhmaanejaaigfokghoakbaco (WaveZap CRM) — 112 users
ephcniiibhpjpfpopmajlmbbijfjpdde (WaCelery) — users not shown
fbkpechbcdilkoadejmhhamidddhdehc (Top System) — 18 users
ehdekncpobdjejklgpgnjgddjdnblmei (Botflow) — 35 users
mnbdaobmkdglnmiagimcniebbgebabek (Organize-C) — 5,000 users
jelgokpkjcplgcckfiaddlfaaepohfdi (FQ Sales CRM) — 30 users
pmnkmmlmbnalnbgidejbcaigahodcppn (Nexus CRM) — 23 users
ipaoladdllekkdokdnemkpjfllbgplek (FLEXZAP) — 71 users
gmdnikelbimgeamkdhpdblmeekpojeei (BoostChat) — 6 users
lbnhlbjmibbmogaefkppniejgaadimdb (WaZap) — 104 users
gmmcjjpciafncfbggmjhglocogcaomjb (Convverso CRM) — 44 users
hjlpccojkgfkamonoaoakgjjlejonefo (JuriMind CRM) — 24 users
chkaiafjmlfakkibkhbfgfklfaachmnc (ZapKan) — 31 users
oohihogmmfbinbkgaiglgeabloiehlkk (Zap Vende) — 30 users
jgfaobieaananaaahonfomlibhchkndb (AngoSeller) — 13 users
jhfdppbgfmmaecdgmboadmkaoifjnfmm (Vou Falar) — 4 users
phamkmfigepogfnbkelfmknehfcjjklm (Chatty Seller) — 23 users
jheebhheaomejiiilhgkambdgagmhfhe (GFlow Chat) — 33 users
foedfcdeffihcmjibkbaffddbjdmkphi (CNW ZAP) — 25 users
jhiknfikchccfkhjbfgiolgjofbnmgkd (66seller) — users not shown
cbhhipokgmechdbhebbalpckddlnfggm (Doris CRM) — 19 users
cjdcglineikacjboikmchenneanfegoo (ZappSeller) — 296 users
jmnajdcdmikociadheoaelpejbmoklpm (CliQ+) — users not shown
jpfpmealiajnfjmiljnmpiifccfkaimj (À Venda - CRM) — 118 users
mcabhobmhiljmdbdigdkkhmhjieecmne (MkZap) — 19 users
pedngakkndckkgfpbdmfmokokdepekho (WhatSmart CRM) — 208 users
lefiaoknofkoecahieockfmhhklkigng (Sanzap) — 32 users
mcjdknfjmchailcpcolfjcogggkjfeij (WaGpro) — 112 users
mecaooaegbmnneijdhegohdpcepdbbmk (Lexchatbot) — users not shown
mppgfleddoodfifpkjjjdbngnkcfcnde (performancemais) — 241 users
igmalhleeaoclfmfdlepdmfnbipkfdfi (Merlix) — 3 users
eomlbgjohomgjjigponmbnedpgoegegl (ChatScript) — 6 users
mgpdpmifcljbddedpajabokdebnaemon (BC ZAP) — 44 users
ofmhnbjohiadaagpeibjlncncllelaoo (Speedsflow CRM) — 5 users
ofmoeicegmlaleajnpcbddiaomnfmfkp (DBX Whats) — 1,000 users
hnimkbcgbhlllkcnphhhnbilkjngpphh (HGTX Intelligence Starter) — users not shown
chdaaapnpinagdkdmkkoandalpdgikdh (Wabin) — 17 users
cijeamgoejpplpdnjhejeeahgkbdndni (Zaplyd - CRM) — 449 users
pilfkgcokfmoblofkghajplgdpmejjph (FleboLeads) — 24 users
pfhinnfbeephmihjjegokhbkaeckdldp (Monchat) — 5 users
hpopdnbfeddglbokfbainoglnhhoccpb (Zappower) — 29 users
gclllmamoegojkehkkohcfcjdmgikldc (Converzap) — 7 users
hnnbkomgboilfohfkpfgnlcpalcnangb (Bot Imobiliário) — 50 users
hocidiaogjnnibkadkedncomnglnehjg (Lucra Zap) — users not shown
niimbdmbkndibiabpoolngcjipgndijh (Donna CRM) — users not shown
okdhkkpmmhinmjipggbfpjbdlckkaemb (Zaplyn) — users not shown
mjailbbfmgaoojmjfcacffkdjoccggcf (FácilCRM) — 174 users
aippcgffdfgfkihejnjkmkbjoidpemcl (IV-CHAT) — users not shown
bajadmkhmpjaiibgakhdgpgllgnhdocc (Talk Zap CRM) — 33 users
bmcliihacfhpicjacebpnhliojphelck (Sellerwork) — 15 users
mjhdkfgdfcehianhcmjpgpicelgehbbe (Wazapy) — 4 users
mhcnngbhhpmlahekicpkpammjibamlip (SALES WHATS) — 213 users
jfcekpbabbijmfpcgnnoaekodnagbffd (Super Chat Boom) — users not shown
ahpcdagejgoffjpnbkhemojogbocbahe (ChatAds) — 122 users
mkbjflhgpickfellipdmpcnhkmmdcojl (YouSeller) — 10,000 users
nmnflpdnbpnoojmpmhkkiagmegimlnmm (FLOW 5.0) — users not shown
nnmbiaaomdknpkgpklfcekneilkimoal (TELEFON CONECTA) — 13 users
bjbdjeijmkjcphbmbiifoeaikbmmgcjp (WA FLASH) — 104 users
kekglidebofmckpkojgbogajflnmhega (MovvaSe) — users not shown
kfopgoafhfkcpnkiemaldlplpbnengjf (Power Chat) — 25 users
nmimioepofbhnidpmebigbahpckjfmbm (Chatfunel) — 54 users
clpedhieolcgejlfdnlfadojpaiahlfm (VicChat) — users not shown
pmdahofhcbcejdodnmijkhahahegenhi (INWISE CRM) — 13 users
hhlbnnfmjdoeegpoihgandmppnmfpeib (ZapForce) — 8 users
jleilnojaafdekbbpighcjlcbmfnifim (ZapWild - CRM) — users not shown
maopdiomoidladgapokmfggnccpolbol (WhatsTool) — 27 users
cgcckeanlanlpaflhipplbhichjejgpk (Lever CRM) — 81 users
kleicpolamoebhoajpbhcbmcihbcfobm (Opendoor Solucoes) — users not shown
kmhlbkgpafhoojblcfhnljaaighbejfk (Yconecta Latam) — 9 users
ifhkkkfghpgbelajdcmkbahibfieffkl (Pipe Loom) — users not shown
blpopmcoebhlkolmkjjmplbmlgdhggkk (Connect Castle Solution) — users not shown
begphlgbbimlphmfbigfjcadjgplglcg (ATENDO DO ZAP) — 34 users
bmeleciepnphilegegcbfjkoolldigid (SYS.AO) — 23 users
ebmbbmldkfhfambpnegomegconmhcioe (Evoluwa) — users not shown
ddmhkpkipjnhlppmcepckfgjbmljmphm (Maiq) — 7 users
jjopcmgbpnfdehgmbioibahegdmmfipm (Zap4u) — users not shown
hdonddbodcfamjgmdolkgfgidjfmijmj (Evan’s Atende) — 33 users
anoghcdepimhncglcecmgnbchpjfkonp (MestreZap) — users not shown
oiekdjliebhjpjknfojajhjebgeedhag (Salesly) — 7 users
ohekppieeepibkebnlilabljmnkffmof (ZapLead) — 25 users
ohojiglgbgnhaddfhdbkoclekhghncih (Chat Power) — users not shown
ekigeoglcndojhecmojcchlhjkbghnmg (FarChat) — 28 users
mlladklbipjfnjgjjbkofonboojklnpo (idk Converte) — 6 users
edgokehfaihammibdolojeljlccobihi (VEXA INOVAÇÃO) — 2 users
eecbjpnghjlfeanpabnebopncfldgkej (Polo Lucrativo) — 6 users
namibohbbclnmgbnhegongpbkphhelji (Sell Swift) — 5 users
ndilbmjmeggijafdloohkniglleeekff (Red Chat) — 12 users
bpinnifebepjjedmficfllcnalhcfgin (Hizi Chat) — users not shown
fkcbkncgbolfiijohpipeobfbopidhlg (HBS CONNECT) — users not shown
bcabbcjlfhhffnjjfebenghlgfpfobdg (EAI MAIS) — users not shown
nfoenldfhfooabacoilpappaoggfmdio (ifteczap CRM) — users not shown
bmfeoaglddjefdcdmnaohgjlanmmddog (ByteZap) — 21 users
mpcajkogkmebocmcflglhmdekfglallb (Cresça & Apareça CRM) — 4 users
ghlcmioojimlkcljjjepehacmgodjfdk (WHATSATLANTIC) — 87 users
poemcanhdcddpkjmdgegfiopikiheppd (Alô IA) — 6 users
pmpcobjbffgoalkbilglngiomdbpmffd (ZapyPrime) — 16 users
lpbhcehpljligfjkcjpfklackjfoomao (WhizzChat) — 28 users
lmoncmhkblbcbekgefgpkohplhjkfgbm (RoboZapp) — 68 users
cbgbkbafakhpmmdmbaafniijhifoikei (ARX Tecnologia) — 2 users
odlgfgmgiinbkobmfhgmphbpfpmofppf (Tryno CRM) — 23 users
aekhfllepcmekghgdhgbceojklhhioba (Zaptree) — 8 users
ilahhiccjmanljjhebdpoilbfhjgpckp (360° Management CRM) — 22 users
agmdligmnfaciogcnokodiaoppflebla (Biz Sale Chat & CRM) — users not shown
ahejniinncebcikkjhggpghpjlkgjoab (Wavenda) — 44 users
kajbnhbibimhcmkpeokmgdpnhddjncka (GMD-ON) — 20 users
kahaenfigldjkcjpnblmhbbkkgfjkhhl (ZapCORR Suite) — 12 users
gfkedhmelaeoklidjhdbgpbnjdcacced (Zap Gestor CRM) — 12 users
gfplcnpcmgddenkggdapkcokgnkgncfe (Myboot) — users not shown
mdchifijocjccoidjcaamcebbehehlgo (Sales Whats Brasil) — 7 users
ebjpepgmlmbfgjdefdhobjfnhpgepibd (IMPAR CRM) — 4 users
fkkjcbogndlaeofafjjdlckkodpnlafb (Oh Mago CRM para Whatsapp) — users not shown
cdjijomcoohechfbkipcibpcakldfceo (DataZap: Automação, CRM) — 30 users
egebdiofdkgfhheopdaecggogdeaaepj (TekZap Conversas) — 46 users
nhmcfloglkbnliknncnfnlhideepfpfi (Lobo Vendedor) — users not shown
fdofhoefhcjllmgcgpdplndaeebfnica (Gana Digital) — users not shown
iflolbkfpmpjobjhkamajiekpmepcban (WHATZIP) — 19 users
dcgdocmggapfdocodbimagkloacnkbjf (STUDIO ZAP) — 37 users
llijmcnalgidmchdckmpimhhffehfbbg (Novo Envio Extensão: CRM) — 110 users
eaeiigegpmgegjhcbohmhddjgaldbknn (FortChat) — users not shown
fibommgfjfckaingpopkdohoegidkmng (Cash Zapp) — 17 users
fgfbklebnaaimlcgmfohnlnkihahlagk (ChatBlink) — 786 users
cjiedabijhhefgeonkdodnpaiimfdlpd (Projeta Zap) — 49 users
lhngnpihljickmbkflaiobcblmhchpab (Conectadus CRM) — 13 users
jpioocoiojejijkbnpljcoonohmechha (Zap4Biz) — users not shown
haieolmfmmepgdimacfanclfemodnmep (BYS Convert) — users not shown
fjfpgmaghnjnjndiapfmehebankomkmc (Fluxo de Vendas) — 10 users
clkibjppajhlbhofckbilehgfjjmljnj (Evento Prime) — users not shown
jbkmdabbenlckohhpccihkingphnoaom (WizeChat) — users not shown
lepbljmnjohannb (MyZapCRM) — 1 user
aogcmjgadbnlpjjcppfcjndmnffbeiid (Vozco Scale) — 10 users
dknafkoneldddpgcomhckilhhfodcnkk (Atendi Light) — users not shown

Cách Thức Hoạt Động Của "Spamware"

Sau khi cài đặt, extension tiêm JavaScript độc hại trực tiếp vào web.whatsapp.com:

Gắn vào DOM của trang: Chạy song song với script WhatsApp, gọi API nội bộ để gửi tin nhắn tự động.
Tải cấu hình từ xa: Service worker fetch file config từ server attacker, cập nhật pattern tin nhắn, throttling để né anti-spam.
Tự động hóa không xác nhận: Gửi hàng loạt tin spam, scrape contact, lập lịch – bypass giới hạn rate limit của WhatsApp.rewterz.com

Kirill Boychenko, nhà nghiên cứu Socket, cảnh báo: "Chúng không phải malware cổ điển, nhưng hoạt động như spam automation cao rủi ro, vi phạm quy tắc nền tảng. Mục tiêu là giữ chiến dịch spam chạy liên tục mà không bị phát hiện."

Hoạt động kéo dài từ đầu 2025 đến 17/10/2025, với cập nhật mới liên tục.

Tác Động Nghiêm Trọng

Người dùng cá nhân/doanh nghiệp: Tài khoản WhatsApp bị spam, khóa vĩnh viễn; dữ liệu liên hệ bị lạm dụng.
Nền tảng: WhatsApp bị quá tải spam, chủ yếu Brazil – nơi WhatsApp là "vua nhắn tin".
Liên kết lớn hơn: Kết hợp với worm SORVEPOTEL (Trend Micro, Sophos, Kaspersky), phân phối banking trojan Maverick.

Forbes nhấn mạnh: "Xóa ngay mọi extension trong danh sách nếu bạn dùng WhatsApp!"

Phản Ứng Từ Google Và Các Bên: Chưa có tuyên bố chính thức, nhưng các extension vi phạm Chính sách Spam & Abuse (developer.chrome.com/docs/webstore/program-policies). Một số nguồn cho biết Google đã xóa một phần sau báo cáo

Khuyến nghị

Phía FPT Threat Intelligence đề xuất một số biện pháp kiểm tra và bảo vệ khi gặp tấn công trên

Kiểm tra và xóa extension: | 1 | Mở Chrome > chrome://extensions | 2 | Tìm tên như YouSeller, ZapVende... | 3 | Toggle OFF > Remove forbes.com
Quét malware: Sử dụng phần mềm AV như: Malwarebytes, ESET hoặc Windows Defender (full scan).
Đổi mật khẩu WhatsApp: Kiểm tra tài khoản lạ.
Clear cache: chrome://settings/clearBrowserData.