blokace série škodlivých doplňků pro prohlížeč Chrome, jejichž oběťmi se stalo několik milionů uživatelů. V první fázi nezávislá výzkumnice Jamila Kaya () a společnost Duo Security odhalily 71 škodlivých doplňků v katalogu Chrome Web Store. Celkově uvedené doplňky měly více než 1,7 milionu instalací. Po informování Google o problému bylo v katalogu nalezeno ještě více než 430 podobných doplňků, jejichž počet instalací není uveden.
Je zajímavé, že i přes značný počet instalací nemá žádný z problémových doplňků uživatelské recenze, což vzbuzuje otázky, jakým způsobem byly doplňky nainstalovány a jak škodlivá aktivita zůstávala nepozorována. V současné době byly všechny problémové doplňky odstraněny z Chrome Web Store.
Podle výzkumníků související s blokovanými doplňky se škodlivá činnost odehrává od ledna 2019, ale jednotlivé domény používané k provádění škodlivých činů byly registrovány již v roce 2017.
Ve své podstatě byly škodlivé doplňky předkládány jako nástroje pro propagaci produktů a zapojení do reklamních služeb (uživatel sleduje reklamu a dostává provizi). V doplňcích byla používána technika přesměrování na propagované stránky při otevírání stránek, které se řetězově zobrazovaly před zobrazením požadovaného webu.
Ve všech doplňcích byla použita jednotná technika pro skrývání škodlivé aktivity a obcházení mechanismů ověřování doplňků v Chrome Web Store. Kód všech doplňků byl téměř identický na úrovni zdrojových textů, s výjimkou názvů funkcí, které byly v každém doplňku jedinečné. Přenos škodlivé logiky byl prováděn z centralizovaných řídicích serverů. Nejprve se doplněk připojil k doméně se stejným názvem jako název doplňku (například Mapstrek.com), poté byl přesměrován na jeden z řídicích serverů, které předávaly scénář dalších kroků.
Mezi akcemi prováděnými prostřednictvím doplňků se zmiňuje nahrávání citlivých údajů uživatele na externí servery, přesměrování na škodlivé stránky a podpora instalace škodlivých aplikací (například se zobrazuje zpráva o infekci počítače a nabízí se škodlivý software pod pláštíkem antiviru nebo aktualizace prohlížeče). Mezi doménami, na které docházelo k přesměrování, figurovaly různé phishingové domény a webové stránky zaměřené na exploitaci neaktualizovaných prohlížečů obsahujících neopravitelné zranitelnosti (například po exploitaci docházelo k pokusům o instalaci škodlivých programů, které zachycovaly přístupové klíče a analyzovaly přenos citlivých údajů prostřednictvím schránky).
Zdroj: opennet.ru
