111 Chrome разширения, свалени 32 милиона пъти, са уличени в закачване на конфиденциални данни

Компания Awake Security съобщи за установяване на 111 разширения за Google Chrome, които изпращат конфиденциални данни на външни сървъри. Тези разширения имаха достъп до създаване на екранни снимки, четене на съдържанието на клипборда, анализ на наличието на токени за достъп в бисквитките и прихващане на входни данни в уеб формуляри. Общо установените зловредни разширения имат 32.9 милиона сваляния в Chrome Web Store, а най-популярното (Search Manager), беше свалено 10 милиона пъти и включва 22 хиляди отзива.

Предполага се, че всички разглеждани разширения са подготвени от един и същи екип от злонамерени лица, тъй като при всички беше използвана стандартна схема за разпространение и организация на захвата на конфиденциални данни, а също така се срещат общи елементи на дизайна и повтарящ се код. 79 разширения с зловреден код бяха публикувани в каталога на Chrome Store и вече са изтрити след изпращане на уведомление за злонамерена активност. Много от зловредните разширения копираха функционалността на различни популярни разширения, включително нацелени върху осигуряването на допълнителна защита на браузъра, повишаване на конфиденциалността при търсене, преобразуване на PDF и конвертиране на формати.

Разработчиците на разширения в началото качваха в Chrome Store чиста версия без зловреден код, преминаваха преглед и след това в едно от обновленията добавяха промени, които зареждаха зловреден код след инсталирането. За скриване на следите от злонамерената активност също се използваше техника за избор на отговори — при първото запитване се предоставяше зловредно сваляне, а при следващите непредизвикващи подозрения данни.

Основните начини за разпространение на зловредни добавки се състоят в промотирането на професионално изглеждащи сайтове (както е показано на изображението по-долу) и публикуването им в Chrome Web Store, като се заобикалят механизмите за проверка за последващо изтегляне на код от външни сайтове. За да се заобиколят ограниченията за инсталиране на добавки само от Chrome Web Store, нападателите разпространяваха отделни версии на Chromium с предварително инсталирани добавки, а също така се извършваше инсталация чрез вече налични в системата рекламни приложения (Adware). Изследователите анализирали 100 мрежи от финансови, медийни, медицински, фармацевтични, нефтогазови и търговски компании, както и образователни и държавни институции, и почти във всичките тях открили следи от наличието на разглежданите зловредни добавки.

По време на кампанията за разпространение на зловредни добавки бяха регистрирани над 15 хиляди домейни, които се пресичат с популярни сайтове (например, gmaille.com, youtubeunblocked.net и т.н.) или регистрирани след изтичането на срока за удължаване на предишни домейни. Тези домейни също бяха използвани в инфраструктурата за управление на зловредна активност и за изтегляне на зловредни JavaScript-вмъквания, изпълнявани в контекста на страниците, отворени от потребителите.

Изследователите заподозряха сговор с регистратора на домейни Galcomm, при когото бяха регистрирани 15 хиляди домейни за зловредни действия (60% от всички издадени от този регистратор домейни), но представители на Galcomm отхвърлиха тези предположения и посочиха, че 25% от посочените домейни вече са премахнати или не са издадени от Galcomm, а останалите почти всички са неактивни припаркирани домейни. Представители на Galcomm също така съобщиха, че преди публичното разкритие на отчета никой не се е свързвал с тях и те получили списък с домейни, използвани за зловредни цели, от трето лице и в момента провеждат разследване по тях.

Изследователите, които установиха проблема, сравняват злонамерените добавки с нов руткит — основната дейност на много потребители се осъществява през браузъра, който служи за достъп до съвместни хранилища на документи, корпоративни информационни системи и финансови услуги. В такива условия злоумышлениците нямат смисъл да търсят пътища за пълна компрометация на операционната система, за да инсталират пълноценен руткит — много по-просто е да постигнат инсталирането на злонамерена браузърна добавка и да контролират потоците от конфиденциални данни чрез нея. Освен контрола на транзитните данни, добавката може да поиска права за достъп до локални данни, уеб камера, местоположение. Както показва практиката, повечето потребители не обръщат внимание на исканите права, а 80% от 1000-те популярни добавки искат достъп до данните на всичките обработвани страници.

Източник: opennet.ru