Ettevõte Awake Security andmete avastamiseks Google Chrome'ile, mis edastavad kasutaja konfidentsiaalset teavet välistele serveritele. Sealhulgas võisid laiendid luua ekraanipilte, lugeda lõikepuhvri sisu, analüüsida juurdepääsutokeene küpsistes ja haarata sisestusi veebivormides. Kokku oli tuvastatud kahjulikud laiendid 32,9 miljoni allalaadimisega Chrome Web Store'is, kõige populaarsem (Sеarch Manager) oli allalaaditud 10 miljonit korda ja sisaldas 22 tuhat arvustust.
Eeldatakse, et kõik käsitletud laiendid on ette valmistanud üks ja sama küberkurjategijate meeskond, kuna kõikides tüüpilised skeemid konfidentsiaalsete andmete levitamiseks ja haaramiseks, samuti esinevad ühisdisaini elemendid ja korduv kood. oli paigutatud Chrome Store'i katalooge ja on juba eemaldatud pärast teate saatmist kahjuliku tegevuse kohta. Paljud kahjulikud laiendid kopeerisid erinevate populaarsete laiendite funktsionaalsust, sealhulgas, mis keskendusid brauseri täiendava kaitse tagamisele, privaatsuse suurendamisele otsingutes, PDF-i konverteerimisele ja failivormingute ümberkujundamisele.
Laiendite arendajad laadisid alguses Chrome Store'i puhta versiooni, mis oli ilma kahjuliku koodita, läbisid kontrolli ja seejärel ühes uuenduses lisasid muudatused, mis laadisid pärast installimist kahjulikku koodi. Kahjuliku tegevuse jälgede varjamiseks kasutati samuti valikvastuseid — esimesel päringul anti välja kahjulik allalaadimine, kuid järgmistel päringutel andmed, mis ei tekitanud kahtlust.
Peamisteks meetoditeks pahatahtlike lisandite levitamiseks on professionaalselt nägevate veebisaitide tutvustamine (nagu alloleval pildil) ja Chrome'i veebipoes paigutamine, juhtides mööda koodide allalaadimist välistelt saitidelt kontrollmehhanisme. Lisandite installimise piirangute ületamiseks Chrome'i veebipoest jaotavad ründajad eraldi Chromiumi kogumid juba eelt installitud lisanditega ning paigaldavad ka juba süsteemis olemasolevaid reklaamrakendusi (Adware). Uurijad analüüsisid 100 finants-, meedia-, meditsiini-, farmaatsia-, nafta- ja kaubandussektorite ettevõtet ning ka hariduse ja avaliku sektori asutusi ning leidis peaaegu kõigis neist märke uuritavate pahatahtlike lisandite olemasolust.
Pahatahtlike lisandite levitamise kampaania käigus on registreeritud rohkem kui , mis kattuvad populaarsete saitidega (nt gmaille.com, youtubeunblocked.net jne) või on registreeritud pärast varem eksisteerinud domeenide tähtaja lõppu. Need domeenid on samuti kasutatud pahatahtliku tegevuse juhtimise infrastruktuuris ja pahatahtlike JavaScripti sisestuste allalaadimiseks, mis täidetakse kasutaja avatud lehtede kontekstis.
Uurijad kahtlustasid koostööd domeeni registreerijaga Galcomm, kus on registreeritud 15 000 domeeni pahatahtlike tegevuste jaoks (60% selle registreerija kõikidest välja antud domeenidest), kuid Galcommi esindajad need oletused ja märkisid, et 25% loetletud domeenidest on juba kustutatud või ei ole välja antud Galcommi poolt, samas kui ülejäänud on peaaegu kõik passiivsed pargitud domeenid. Galcommi esindajad teatasid ka, et enne avaliku aruande avaldamist ei ole keegi nendega ühendust võtnud ning nad said loetelu pahatahtlike eesmärkide saavutamiseks kasutatud domeenidest kolmandalt osapoolelt ja nüüd viivad nad läbi oma uurimise nende osas.
Probleemi avastanud teadlased võrdsustavad kahjulikke laiendusi uue rootkitiga – paljude kasutajate peamine tegevus toimub brauseri kaudu, mille kaudu pääseb juurde ühiskasutatavatele dokumentide salvestuskohtadele, ettevõtte infosüsteemidele ja rahandusteenustele. Kurjategijatel pole sellistes tingimustes mõtet otsida viise operatsioonisüsteemi täielikuks kompromiteerimiseks, et installida täisfunktsionaalne rootkit – palju lihtsam on saavutada kahjuliku brauserilaiendi installimine ja kontrollida selle kaudu konfidentsiaalsete andmete vooge. Lisaks voogude kontrollimisele võib laiend küsida õigusi kohalike andmete, veebikaamera ja asukoha juurdepääsuks. Kogemus näitab, et enamik kasutajaid ei pöörata tähelepanu küsitavatele õigustele ning 80% 1000 populaarsetest laiendustest küsivad juurdepääsu kõikidele töötlevate lehtede andmetele.
Allikas: opennet.ru
