Über 500 schädliche Erweiterungen wurden aus dem Chrome Web Store entfernt

Die Ergebnisse sind bekanntgegeben der Blockierung einer Reihe von bösartigen Erweiterungen für den Chrome-Browser, von denen mehrere Millionen Benutzer betroffen waren. In der ersten Phase identifizierte die unabhängige Forscherin Jamila Kaya (Jamila Kaya) und das Unternehmen Duo Security 71 bösartige Erweiterungen im Chrome Web Store. In Summe hatten diese Erweiterungen über 1,7 Millionen Installationen. Nach der Benachrichtigung von Google über das Problem wurden im Katalog weitere über 430 ähnliche Erweiterungen entdeckt, deren Anzahl an Installationen jedoch nicht bekannt gegeben wird.

Bemerkenswert ist, dass trotz der erheblichen Anzahl an Installationen keine der problematischen Erweiterungen Nutzerbewertungen aufweist, was Fragen aufwirft, wie die Erweiterungen installiert wurden und wie die bösartige Aktivität unentdeckt blieb. Derzeit wurden alle problematischen Erweiterungen aus dem Chrome Web Store entfernt.
Laut den Forschern wird die mit den blockierten Erweiterungen verbundene bösartige Aktivität seit Januar 2019 durchgeführt, aber bestimmte Domains, die für die Durchführung bösartiger Aktivitäten verwendet wurden, wurden bereits 2017 registriert.

In der Regel wurden schädliche Erweiterungen als Werkzeuge zur Produktförderung und zur Teilnahme an Werbediensten präsentiert (der Benutzer sieht sich Werbung an und erhält Provisionen). Bei den Erweiterungen wurde die Technik des Weiterleitens zu beworbenen Websites angewendet, wenn Seiten geöffnet wurden, die in einer Kette angezeigt wurden, bevor die angeforderte Website angezeigt wurde.

In allen Erweiterungen wurde eine einheitliche Technik verwendet, um schädliche Aktivitäten zu verbergen und die Verifizierungsmethoden für Erweiterungen im Chrome Web Store zu umgehen. Der Code aller Erweiterungen war auf Quellcode-Ebene nahezu identisch, abgesehen von den Funktionsnamen, die in jeder Erweiterung einzigartig waren. Die Übertragung der schädlichen Logik erfolgte über zentralisierte Steuerungsserver. Zunächst stellte die Erweiterung eine Verbindung zu einer Domain her, die denselben Namen wie die Erweiterung trug (z. B. Mapstrek.com), und wurde dann zu einem der Steuerungsserver weitergeleitet, die ein Skript für die weiteren Aktionen bereitstellten.

Zu den über die Erweiterungen durchgeführten Aktionen gehört das Hochladen vertraulicher Benutzerdaten auf externe Server, das Umleiten zu schädlichen Websites und die Unterstützung bei der Installation von Malware (zum Beispiel wird eine Meldung über eine Computerinfektion angezeigt und es wird schädliche Software unter dem Deckmantel eines Antivirusprogramms oder Browser-Updates angeboten). Zu den Domains, auf die umgeleitet wurde, gehören verschiedene Phishing-Domains und Websites, die anfällige, nicht aktualisierte Browser ausnutzen, die unbehobene Sicherheitslücken enthalten (zum Beispiel wurden nach der Ausbeutung Versuche unternommen, Malware zu installieren, die Zugangsschlüssel abfängt und die Übertragung vertraulicher Daten über die Zwischenablage analysiert).

Quelle: opennet.ru