111 Chrome добавки, изтеглени 32 милиона пъти, са установили, че изтеглят чувствителни данни

Охранителна компания Awake съобщава относно идентифицирането 111 добавки към Google Chrome, изпращайки поверителни потребителски данни към външни сървъри. Добавките също имаха достъп до правене на екранни снимки, четене на съдържанието на клипборда, анализиране на наличието на маркери за достъп в бисквитките и прихващане на въвеждане в уеб формуляри. Общо идентифицираните злонамерени добавки възлизат на 32.9 милиона изтегляния в уеб магазина на Chrome, а най-популярният (Search Manager) е изтеглен 10 милиона пъти и включва 22 хиляди прегледа.

Предполага се, че всички разглеждани добавки са подготвени от един отбор нападатели, тъй като във всички използвани типична схема за разпространение и организиране на улавянето на поверителни данни, както и общи елементи на дизайна и повтарящ се код. 79 добавки със злонамерен код са поставени в каталога на Chrome Store и вече са изтрити след изпращане на известие за злонамерена дейност. Много злонамерени добавки копираха функционалността на различни популярни добавки, включително тези, насочени към осигуряване на допълнителна сигурност на браузъра, повишаване на поверителността на търсенето, PDF конвертиране и конвертиране на формат.

Разработчиците на добавки първо публикуваха чиста версия без злонамерен код в Chrome Store, преминаха партньорска проверка и след това добавиха промени в една от актуализациите, които зареждат злонамерен код след инсталирането. За прикриване на следи от злонамерена дейност е използвана и техника за селективен отговор - първата заявка връща злонамерено изтегляне, а следващите заявки връщат неподозрителни данни.

Основните начини, по които се разпространяват злонамерени добавки, са чрез популяризиране на професионално изглеждащи сайтове (както на снимката по-долу) и поставяне в уеб магазина на Chrome, заобикаляйки механизмите за проверка за последващо изтегляне на код от външни сайтове. За да заобиколят ограниченията за инсталиране на добавки само от уеб магазина на Chrome, нападателите разпространиха отделни сборки на Chromium с предварително инсталирани добавки и също така ги инсталираха чрез рекламни приложения (Adware), които вече присъстват в системата. Изследователите анализираха 100 мрежи от финансови, медийни, медицински, фармацевтични, петролни и газови и търговски компании, както и образователни и държавни институции, и откриха следи от присъствието на злонамерените добавки в почти всички от тях.

По време на кампанията за разпространение на злонамерени добавки, повече от 15 хиляди домейна, пресичащи се с популярни сайтове (например gmaille.com, youtubeunblocked.net и др.) или регистрирани след изтичане на периода за подновяване за съществуващи преди това домейни. Тези домейни също са били използвани в инфраструктурата за управление на злонамерени дейности и за изтегляне на злонамерени вмъквания на JavaScript, които са били изпълнени в контекста на страниците, отворени от потребителя.

Изследователите подозираха конспирация с регистратора на домейни Galcomm, в който бяха регистрирани 15 хиляди домейна за злонамерени дейности (60% от всички домейни, издадени от този регистратор), но представители на Galcomm опровергани Тези предположения показват, че 25% от изброените домейни вече са изтрити или не са издадени от Galcomm, а останалите почти всички са неактивни паркирани домейни. Представители на Galcomm също съобщиха, че никой не се е свързал с тях преди публичното оповестяване на доклада и са получили списък с домейни, използвани за злонамерени цели от трета страна и сега извършват своя анализ върху тях.

Изследователите, идентифицирали проблема, сравняват злонамерените добавки с нов руткит - основната дейност на много потребители се извършва през браузър, чрез който те имат достъп до споделено съхранение на документи, корпоративни информационни системи и финансови услуги. При такива условия няма смисъл хакерите да търсят начини за пълно компрометиране на операционната система, за да инсталират пълноценен руткит - много по-лесно е да инсталирате злонамерена добавка за браузър и да контролирате потока от поверителни данни през то. В допълнение към наблюдението на транзитните данни, добавката може да поиска разрешения за достъп до локални данни, уеб камера или местоположение. Както показва практиката, повечето потребители не обръщат внимание на исканите разрешения, а 80% от 1000 популярни добавки изискват достъп до данните на всички обработени страници.

Източник: opennet.ru