Awake Security om opdagelse til Google Chrome, som sender brugernes fortrolige data til eksterne servere. Blandt andet havde udvidelserne adgang til at tage skærmbilleder, læse indholdet i udklipsholderen, analysere tilstedeværelsen af adgangstokens i cookies og opfange input i webformularer. Samlet set havde de opdagede skadelige udvidelser 32,9 millioner downloads i Chrome Web Store, og den mest populære (Searh Manager) blev downloaded 10 millioner gange og har 22.000 anmeldelser.
Det antages, at alle de gennemgåede udvidelser er forberedt af det samme team af kriminelle, da i alle en standard skema til distribution og organisation af indfangning af fortrolige data, såvel som der findes fælles designelementer og gentagende kode. med skadelig kode blev offentliggjort i Chrome Store-kataloget og er allerede blevet fjernet efter meddelelse om skadelig aktivitet. Mange skadelige udvidelser kopierede funktionaliteten af forskellige populære udvidelser, herunder dem, der er målrettet mod at give ekstra beskyttelse i browseren, øge privatlivets fred under søgning, PDF-konvertering og formatkonvertering.
Udviklerne af udvidelserne lagde i starten en ren version uden skadelig kode i Chrome Store, gennemgik anmeldelse, og derefter i en af opdateringerne tilføjede de ændringer, som indlæste skadelig kode efter installationen. For at skjule sporene af skadelig aktivitet blev der også anvendt teknikker som selektive svar — ved den første anmodning blev en skadelig download givet, mens der ved efterfølgende anmodninger blev leveret data, der ikke vækkede mistanke.
De primære måder, hvorpå skadelige udvidelser distribueres, omfatter promovering af professionelt udseende hjemmesider (som på billedet nedenfor) samt placering i Chrome Web Store, der omgår kontrolmekanismerne for efterfølgende download af kode fra eksterne websteder. For at omgå begrænsningerne for installation af udvidelser kun fra Chrome Web Store, distribuerede angribere separate versioner af Chromium med forudinstallerede udvidelser samt installerede dem via allerede tilstedeværende reklameapplikationer (Adware) i systemet. Forskere har analyseret 100 netværk af finans- og medievirksomheder, medicinske, farmaceutiske, olie- og gasfirmaer samt handelsvirksomheder, og også uddannelses- og statslige institutioner, og næsten alle viste spor af de omtalte skadelige udvidelser.
I løbet af kampagnen for at sprede skadelige udvidelser blev der registreret mere end , som krydser med populære websteder (fx gmaille.com, youtubeunblocked.net osv.) eller blev registreret efter udløbet af tidligere eksisterende domæner. Disse domæner blev også anvendt i infrastrukturen til at styre skadelig aktivitet og til at downloade skadelige JavaScript-injektioner, der blev udført i konteksten af åbne sider af brugeren.
Forskere mistænkte sammensværgelse med domæneregistratoren Galcomm, hvor 15.000 domæner blev registreret til skadelige formål (60% af alle domæner udstedt af denne registrar), men repræsentanter for Galcomm disse formodninger og angav, at 25% af de nævnte domæner allerede er blevet slettet eller ikke er udstedt af Galcomm, og de resterende næsten alle er inaktive parkerede domæner. Repræsentanter for Galcomm meddelte også, at ingen havde kontaktet dem før offentliggørelsen af rapporten, og de fik listen over domæner, der anvendes til skadelige formål, fra en tredjepart og udfører nu deres egen undersøgelse af dem.
Forskere, der har identificeret problemet, sammenligner de ondsindede tilføjelser med en ny rootkit – mange brugeres primære aktivitet foregår via browseren, som bruges til at få adgang til fælles dokumentlagre, virksomhedens informationssystemer og finansielle tjenester. For kriminelle giver det ikke mening at søge efter måder at kompromittere operativsystemet fuldt ud for at installere en fuld rootkit; det er langt enklere at få installeret en ondsindet browser-tilføjelse og kontrollere strømmen af fortrolige data gennem den. Udover at kontrollere transitdata kan tilføjelsen anmode om adgangsrettigheder til lokale data, webkamera, placering. Som praksis viser, lægger de fleste brugere ikke mærke til de anmodede rettigheder, og 80% af de 1000 mest populære tilføjelser beder om adgang til data på alle behandlede sider.
Kilde: opennet.ru
