111 Chrome-Erweiterungen, die 32 Millionen Mal heruntergeladen wurden, sind beim Hochladen vertraulicher Daten enttarnt worden

Unternehmen Awake Security meldete zur Identifizierung 111 Erweiterungen für Google Chrome, die vertrauliche Benutzerdaten an externe Server sendeten. Unter anderem hatten die Erweiterungen Zugang zur Erstellung von Screenshots, zum Lesen des Inhalts der Zwischenablage, zur Analyse von Zugriffstoken in Cookies und zum Abfangen von Eingaben in Webformularen. Insgesamt hatten die identifizierten schädlichen Erweiterungen 32,9 Millionen Downloads im Chrome Web Store, wobei die beliebteste (Sеarch Manager) 10 Millionen Mal heruntergeladen wurde und 22.000 Bewertungen umfasst.

Es wird angenommen, dass alle überprüften Erweiterungen von demselben Team von Angreifern erstellt wurden, da in allen wurden verwendet eine typische Verbreitungsmuster und Organisation zur Erfassung vertraulicher Daten vorhanden sind, sowie gemeinsame Designelemente und wiederholter Code vorkommen. 79 Erweiterungen mit schädlichem Code wurden im Chrome Store katalogisiert und nach der Benachrichtigung über schädliche Aktivitäten bereits entfernt. Viele schädliche Erweiterungen kopierten die Funktionalität verschiedener beliebter Erweiterungen, einschließlich solcher, die auf zusätzlichen Browserschutz, erhöhte Privatsphäre bei Suchen, PDF-Konvertierung und Formatkonvertierungen abzielten.

Die Entwickler der Erweiterungen platzierten zunächst eine saubere Version ohne schädlichen Code im Chrome Store, durchliefen die Überprüfung und fügten dann in einem der Updates Änderungen hinzu, die nach der Installation schädlichen Code nachluden. Um die Spuren schädlicher Aktivitäten zu verbergen, wurde auch die Technik selektiver Antworten verwendet - beim ersten Anfrage wurde schädlicher Code ausgeliefert, während bei nachfolgenden Anfragen unauffällige Daten bereitgestellt wurden.

Die Hauptwege der Verbreitung bösartiger Erweiterungen sind die Förderung professionell gestalteter Webseiten (wie im Bild unten) und die Platzierung im Chrome Web Store, wobei die Prüfmechanismen umgangen werden, um anschließend Code von externen Websites herunterzuladen. Um die Beschränkungen für die Installation von Erweiterungen nur aus dem Chrome Web Store zu umgehen, haben Angreifer separate Chromium-Versionen mit vorinstallierten Erweiterungen verteilt und zudem Installationen über bereits im System vorhandene Werbeanwendungen (Adware) vorgenommen. Forscher analysierten 100 Netzwerke von Finanz-, Medien-, Medizin-, Pharma-, Öl- und Handelsunternehmen sowie Bildungseinrichtungen und Regierungsbehörden und entdeckten fast überall Spuren der betrachteten bösartigen Erweiterungen.

Im Verlauf der Kampagne zur Verbreitung bösartiger Erweiterungen wurden mehr als 15.000 Domains, die mit beliebten Webseiten (zum Beispiel gmaille.com, youtubeunblocked.net usw.) oder nach Ablauf der Frist für die Verlängerung zuvor bestehender Domains registriert wurden, in Verbindung gebracht. Diese Domains wurden auch in der Infrastruktur zur Verwaltung bösartiger Aktivitäten und zum Herunterladen bösartiger JavaScript-Inhalte verwendet, die im Kontext der vom Benutzer geöffneten Seiten ausgeführt werden.

Die Forscher vermuteten eine Zusammenarbeit mit dem Domain-Registrar Galcomm, bei dem 15.000 Domains für bösartige Aktivitäten registriert wurden (60 % aller von diesem Registrar vergebenen Domains), jedoch wiesen Vertreter von Galcomm diese Vermutungen zurück und erklärten, dass 25 % der genannten Domains bereits gelöscht oder nicht von Galcomm registriert wurden, während fast alle anderen inaktive, geparkte Domains sind. Die Vertreter von Galcomm gaben auch an, dass sich vor der öffentlichen Offenlegung des Berichts niemand an sie gewandt hatte und dass sie die Liste der für bösartige Zwecke verwendeten Domains von einer dritten Partei erhalten hatten und nun eine Überprüfung durchführen.

Forscher, die das Problem identifiziert haben, vergleichen bösartige Erweiterungen mit einem neuen Rootkit – das Hauptaugenmerk vieler Benutzer liegt auf dem Browser, über den auf gemeinsame Dokumentenspeicher, Unternehmensinformationssysteme und Finanzdienstleistungen zugegriffen wird. In solchen Fällen macht es für Angreifer keinen Sinn, nach Wegen zu suchen, um das Betriebssystem vollständig zu kompromittieren, um ein vollständiges Rootkit zu installieren – es ist viel einfacher, eine bösartige Browsererweiterung zu installieren und darüber die Ströme vertraulicher Daten zu steuern. Neben der Kontrolle über die Transitdaten kann die Erweiterung Berechtigungen für den Zugriff auf lokale Daten, Webcam und Standort anfordern. Wie die Praxis zeigt, schenken die meisten Benutzer den angeforderten Berechtigungen keine Beachtung, und 80 % der 1000 beliebtesten Erweiterungen verlangen Zugang zu Daten aller verarbeiteten Seiten.

Quelle: opennet.ru