group-telegram.com/Russian_OSINT/5652
Last Update:
ИБ-компания LayerX опубликовала исследование, где раскрывает подробно информацию о сети вредоносных расширений для браузера Google Chrome. Расширения маскируются под безобидные инструменты, например, для управления звуком и скачаны почти у 1,5 миллионов пользователей по всему миру. Действуют они по принципу "спящих агентов" в духе сказки «Спящая красавица», готовые в час Х проснуться и выполнить вредоносные команды.
Самое крупное из них,
🔊Атакующие обещают пользователю расширение для "улучшения звука" в браузере.
Эксперты LayerX обнаружили как минимум 4 популярных расширения, которые, несмотря на кажущуюся легитимность, содержат скрытую инфраструктуру для проведения потенциальных кибератак.
Все расширения используют идентичные фрагменты кода, которые ранее были замечены в других вредоносных программах, уже удаленных из Chrome Web Store. В частности, упоминается класс ExtStatTracker, который был частью печально известного расширения ReadBee. Компонент способен в фоновом режиме отслеживать действия пользователя (установку, удаление), отправлять зашифрованные данные на удаленный сервер и, что самое опасное, открывать любые веб-страницы в новых вкладках по команде извне.
Расширения способны загружать конфигурационные файлы с удаленных серверов. Злоумышленники могут активировать вредоносные функции, даже не обновляя само расширение, и таким образом обойти стандартные проверки безопасности магазина Chrome. Например, команды могут включать перенаправление трафика, загрузку вирусов или кражу данных.
Установлено, что расширения обмениваются данными с доменами, которые уже числятся в базах вредоносных ресурсов, например, francjohn[.]com. Другие домены, с которыми они связываются, размещены на IP-адресах, ранее замеченных в распространении зловредов.
Для сокрытия своей деятельности код использует шифрование и обфускацию через Base64, что усложняет анализ их поведения.
Исследование LayerX подчеркивает новую, тревожную тенденцию в мире киберугроз. Создание сети «спящих» расширений вполне простой и эффективный способ получить контроль над миллионами устройств в отличие от создания ботнетов из взломанных IoT-устройств. Браузерное расширение предоставляет прямой доступ к самой ценной информации: файлам cookie, паролям, истории посещений и даже содержимому веб-страниц.
Эксперты призывают пользователей с осторожностью относиться к установке браузерных расширений.
