Společnost Awake Security o odhalování pro Google Chrome, které odesílaly citlivé údaje uživatelů na externí servery. Tyto doplňky měly přístup k vytváření snímků obrazovky, čtení obsahu schránky, analýze přítomnosti přístupových tokenů v cookie a zachytávání vstupu ve webových formulářích. Celkově odhalené škodlivé doplňky měly 32,9 milionu stažení v Chrome Web Store, a ten nejpopulárnější (Sеarch Manager) byl stažen 10 milionůkrát a obsahoval 22 tisíc recenzí.
Předpokládá se, že všechny zmíněné doplňky byly připraveny stejným týmem útočníků, protože ve všech typická schéma distribuce a organizace zachycování citlivých údajů, a také se objevují společné prvky designu a opakující se kód. se škodlivým kódem bylo umístěno v katalogu Chrome Store a již bylo odstraněno po odeslání oznámení o škodlivé aktivitě. Mnoho škodlivých doplňků kopírovalo funkce různých populárních doplňků, včetně těch, které byly zaměřeny na zajištění další ochrany prohlížeče, zvyšování soukromí při hledání, převod PDF a konverzi formátů.
Vývojáři doplňků nejprve umístili v Chrome Store čistou verzi bez škodlivého kódu, procházeli recenzí a poté v jednom z aktualizací přidali změny, které načetly škodlivý kód po instalaci. Pro skrytí stop škodlivé aktivity byla také použita technika selektivních odpovědí — při prvním dotazu byla vydána škodlivá distribuce, zatímco při následných dotazech se nabízely nedůvěryhodná data.
Hlavními způsoby šíření škodlivých doplňků jsou propagace profesionálně vypadajících webových stránek (jak je vidět na obrázku níže) a umístění v Chrome Web Store, obcházející mechanismy kontroly pro následné načítání kódu z externích stránek. Aby obcházeli omezení instalace doplňků pouze z Chrome Web Store, útočníci šířili jednotlivé distribuce Chromium s předinstalovanými doplňky a instalovali je prostřednictvím již přítomných reklamních aplikací (Adware) v systému. Výzkumníci analyzovali 100 sítí finančních, mediálních, lékařských, farmaceutických, ropných a obchodních společností, stejně jako vzdělávacích a státních institucí, a téměř ve všech z nich našli stopy přítomnosti uvedených škodlivých doplňků.
Během kampaně na šíření škodlivých doplňků bylo zaregistrováno více , které se překrývaly s populárními webovými stránkami (například gmaille.com, youtubeunblocked.net apod.) nebo byly zaregistrovány po uplynutí doby prodloužení dříve existujících domén. Tyto domény byly také použity v infrastruktuře pro správu škodlivé činnosti a pro načtení škodlivých JavaScriptových vložek prováděných v kontextu otevřených stránek uživateli.
Výzkumníci podezřívali spiknutí s registrem domén Galcomm, kde bylo zaregistrováno 15 tisíc domén pro škodlivé účely (60% ze všech domén vydaných tímto registrem), ale zástupci Galcomm tato tvrzení a uvedli, že 25 % z uvedených domén již bylo odstraněno nebo bylo vydáno nikoli Galcomm, a téměř všechny ostatní jsou neaktivní parkované domény. Zástupci Galcomm také oznámili, že před veřejným zveřejněním zprávy se na ně nikdo neobrátil a že seznam domén používaných pro škodlivé účely obdrželi od třetí strany a nyní provádějí vlastní vyšetřování.
Výzkumníci, kteří zjistili problém, přirovnávají škodlivé doplňky k novému rootkitu – většina uživatelů vykonává svou činnost prostřednictvím prohlížeče, kterým získávají přístup ke společným úložištím dokumentů, firemním informačním systémům a finančním službám. V těchto podmínkách je pro zločince bezpředmětné hledat cesty k úplné kompromitaci operačního systému za účelem instalace plnohodnotného rootkitu – mnohem jednodušší je dosáhnout instalace škodlivého prohlížečového doplňku a kontrolovat přes něj toky důvěrných dat. Kromě sledování přenášených dat si doplněk může vyžádat oprávnění k přístupu k místním datům, webové kameře a poloze. Jak ukazuje praxe, většina uživatelů nevěnuje pozornost žádosti o oprávnění a 80 % z 1000 populárních doplňků požaduje přístup k údajům ze všech zpracovávaných stránek.
Zdroj: opennet.ru
