111 разширения за Chrome, изтеглени 32 млн. пъти, са уличени в изтегляне на конфиденциални данни

Компания Awake Security съобщи за откритие 111 разширения за Google Chrome, които изпращат конфиденциални данни на потребителя към външни сървъри. Включително разширенията имаха достъп до създаване на екранни снимки, четене на съдържанието на клипборда, анализ на наличието на токени за достъп в Cookies и прихващане на входа в уеб формуляри. В сумата, откритите злонамерени разширения наброяваха 32.9 милиона изтегляния в Chrome Web Store, а най-популярното (Search Manager) беше изтеглено 10 милиона пъти и включва 22 хиляди отзиви.

Предполага се, че всички разгледани разширения са подготвени от един и същи екип от злоумышленици, тъй като във всички беше използвана има типова схема за разпространение и организация на прихващане на конфиденциални данни, както и споделят общи елементи на дизайна и повтарящ се код. 79 разширения с злонамерен код бяха разположени в каталога на Chrome Store и вече бяха изтрити след изпращане на известие за злонамерена активност. Много злонамерени разширения копираха функционалността на различни популярни разширения, включително насочени към осигуряване на допълнителна защита на браузъра, повишаване на конфиденциалността при търсене, преобразуване на PDF и конвертиране на формати.

Разработчиците на добавки първоначално публикуваха в Chrome Store чиста версия без злонамерен код, преминаваха през рецензии, а след това в едно от актуализациите добавяха промени, които зареждаха злонамерен код след инсталацията. За скриване на следите от злонамерена активност също се прилагаше техниката на селективни отговори — при първото запитване се издаваше злонамерено зареждане, а при следващите, данни, които не предизвикват подозрения.

Основните методи за разпространение на злонамерени разширения включват промотирането на професионално изглеждащи сайтове (както е показано на изображението по-долу) и публикуването им в Chrome Web Store, заобикаляйки механизмите за проверка за последващо изтегляне на код от външни сайтове. За да заобиколят ограниченията за инсталиране на разширения само от Chrome Web Store, нападателите разпространявали отделни версии на Chromium с предварително инсталирани разширения, а също така се извършвала инсталация чрез вече налични в системата реклами (Adware). Изследователите анализирали 100 мрежи от финансови, медийни, медицински, фармацевтични, нефтогазови и търговски компании, както и образователни и държавни институции, и почти навсякъде открили следи от наличието на разглежданите злонамерени разширения.

По време на кампанията за разпространение на злонамерени разширения бяха регистрирани над 15 хиляди домейна, които се припокриват с популярни сайтове (например, gmaille.com, youtubeunblocked.net и т.н.) или са регистрирани след изтичането на срока за подновяване на предишни домейни. Тези домейни също бяха използвани в инфраструктурата за управление на злонамерена активност и за изтегляне на злонамерени JavaScript вложки, изпълнявани в контекста на отворените от потребителя страници.

Изследователите заподозряха заговор с регистратора на домейна Galcomm, в който бяха регистрирани 15 хиляди домейна за злонамерени действия (60% от всички издадени от този регистратор домейни), но представителите на Galcomm отхвърлиха тези твърдения и посочиха, че 25% от изброените домейни вече са изтрити или не са издадени от Galcomm, а останалите почти всички са неактивни паркирани домейни. Представителите на Galcomm също съобщиха, че преди публичното разкриване на доклада никой не се е свързвал с тях и те получили списък с домейни, използвани за злонамерени цели, от трета страна и сега провеждат разследване относно тях.

Изследователите, които установиха проблема, сравняват злонамерените добавки с нов руткит — основната дейност на много потребители се извършва чрез браузъра, чрез който се осъществява достъп до споделени хранилища на документи, корпоративни информационни системи и финансови услуги. На злонамеренците в такива условия не им е необходимо да търсят начина за пълна компрометация на операционната система за инсталиране на пълноценен руткит, — много по-лесно е да постигнат инсталирането на злонамерен браузърен добавка и да контролират потоците на конфиденциални данни чрез него. Освен контрола върху транзитните данни, добавката може да поиска разрешение за достъп до локални данни, уеб камера, местоположение. Както показва практиката, повечето потребители не обръщат внимание на исканите разрешения, а 80% от 1000 популярни добавки искат достъп до данните на всички обработвани страници.

Източник: opennet.ru