der Blockierung einer Reihe von schädlichen Erweiterungen für den Browser Chrome, von denen mehrere Millionen Nutzer betroffen waren. Im ersten Schritt identifizierte die unabhängige Forscherin Jamila Kaya () und das Unternehmen Duo Security 71 schädliche Erweiterungen im Chrome Web Store. Insgesamt hatten die genannten Erweiterungen mehr als 1,7 Millionen Installationen. Nach der Informierung von Google über das Problem wurden im Katalog noch über 430 ähnliche Erweiterungen gefunden, deren Installationszahlen nicht veröffentlicht werden.
Bemerkenswert ist, dass trotz der hohen Anzahl an Installationen keine der problematischen Erweiterungen Benutzerbewertungen aufweist, was Fragen aufwirft, wie die Erweiterungen installiert wurden und wie die schädliche Aktivität unbemerkt blieb. Derzeit wurden alle problematischen Erweiterungen aus dem Chrome Web Store entfernt.
Laut den Forschern wird die mit den blockierten Erweiterungen verbundene schädliche Aktivität seit Januar 2019 durchgeführt, jedoch wurden einzelne Domains, die für schädliche Aktivitäten genutzt wurden, bereits 2017 registriert.
In der Mehrheit wurden die schädlichen Erweiterungen als Werkzeuge zum Promotion von Produkten und zur Teilnahme an Werbediensten angeboten (der Benutzer sieht Werbung und erhält Vergütungen). Bei den Erweiterungen wurde eine Technik verwendet, die beim Öffnen von Seiten auf beworbene Websites umleitete, die in einer Kette angezeigt wurden, bevor die angeforderte Website geladen wurde.
In allen Erweiterungen wurde eine einheitliche Technik verwendet, um die schädliche Aktivität zu verbergen und die Verifizierungsmechanismen der Erweiterungen im Chrome Web Store zu umgehen. Der Code aller Erweiterungen war auf der Ebene der Quelltexte nahezu identisch, mit Ausnahme der Funktionsnamen, die in jeder Erweiterung einzigartig waren. Die Übertragung der schädlichen Logik erfolgte von zentralisierten Steuerungsservern. Zunächst stellte die Erweiterung eine Verbindung zu einer Domain her, die denselben Namen hatte wie die Erweiterung (zum Beispiel Mapstrek.com), und wurde dann auf einen der Steuerungsserver umgeleitet, die das Skript für weitere Aktionen bereitstellten.
Zu den über die Erweiterungen durchgeführten Aktionen gehört das Hochladen vertraulicher Benutzerdaten auf externe Server, das Umleiten auf schädliche Websites und die Unterstützung bei der Installation bösartiger Anwendungen (z. B. wird eine Nachricht über eine Infektion des Computers angezeigt, und es wird Malware in Form eines Antivirenprogramms oder eines Browser-Updates angeboten). Zu den Domains, auf die umgeleitet wurde, gehören verschiedene Phishing-Domains und Websites, die ausgenutzte, nicht aktualisierte Browser enthalten, die nicht behobene Sicherheitsanfälligkeiten aufweisen (z. B. wurden nach der Ausnutzung Versuche unternommen, schädliche Programme zu installieren, die Zugangsschlüssel abfangen und die Übertragung vertraulicher Daten über die Zwischenablage analysieren).
Quelle: opennet.ru
