Повече от 500 злонамерени добавки са премахнати от уеб магазина на Chrome

Резултатите са обобщени блокирайки поредица от злонамерени добавки към браузъра Chrome, което засегна няколко милиона потребители. На първия етап независимият изследовател Джамила Кая (Джамила Кая) и Duo Security са идентифицирали 71 злонамерени добавки в уеб магазина на Chrome. Общо тези добавки възлизат на повече от 1.7 милиона инсталации. След като информира Google за проблема, в каталога са открити над 430 подобни добавки, чийто брой инсталации не се съобщава.

Трябва да се отбележи, че въпреки впечатляващия брой инсталации, нито една от проблемните добавки няма потребителски прегледи, което повдига въпроси за това как добавките са били инсталирани и как злонамерената дейност е останала незабелязана. Всички проблемни добавки вече са премахнати от уеб магазина на Chrome.
Според изследователите злонамерената дейност, свързана с блокирани добавки, продължава от януари 2019 г., но отделни домейни, използвани за извършване на злонамерени действия, са регистрирани още през 2017 г.

В по-голямата си част злонамерените добавки бяха представени като инструменти за промоция на продукти и участие в рекламни услуги (потребителят гледа реклами и получава възнаграждения). Добавките използваха техника за пренасочване към рекламирани сайтове при отваряне на страници, които се показваха във верига, преди да покажат искания сайт.

Всички добавки използваха една и съща техника за скриване на злонамерена дейност и заобикаляне на механизмите за проверка на добавките в уеб магазина на Chrome. Кодът за всички добавки беше почти идентичен на ниво източник, с изключение на имената на функциите, които бяха уникални във всяка добавка. Злонамерената логика се предава от централизирани сървъри за управление. Първоначално добавката беше свързана с домейн, който имаше същото име като името на добавката (например Mapstrek.com), след което беше пренасочена към един от контролните сървъри, който предостави скрипт за по-нататъшни действия .

Някои от действията, извършвани чрез добавки, включват качване на поверителни потребителски данни на външен сървър, пренасочване към злонамерени сайтове и инсталация на злонамерени приложения (например показва се съобщение, че компютърът е заразен и се предлага злонамерен софтуер под под прикритието на антивирусна програма или актуализация на браузър). Домейните, към които са направени пренасочвания, включват различни фишинг домейни и сайтове за използване на неактуализирани браузъри, съдържащи неотстранени уязвимости (например след експлоатация са направени опити за инсталиране на зловреден софтуер, който прихваща ключове за достъп и анализира прехвърлянето на поверителни данни през клипборда).

Източник: opennet.ru