111 extensions Chrome, téléchargées 32 millions de fois, accusées de collecter des données sensibles

Entreprise Awake Security a déclaré sur la détection 111 extensions pour Google Chrome, envoyant des données sensibles d'utilisateur vers des serveurs externes. Parmi ces extensions, certaines avaient accès à la création de captures d'écran, à la lecture du contenu du presse-papiers, à l'analyse de la présence de jetons d'accès dans les cookies et à l'interception des saisies dans des formulaires web. Au total, les extensions malveillantes détectées comptaient 32,9 millions de téléchargements sur le Chrome Web Store, la plus populaire (Sеarch Manager) ayant été téléchargée 10 millions de fois et comptant 22 000 avis.

Il est supposé que toutes les extensions examinées ont été préparées par la même équipe d'assaillants, car dans toutes était utilisée une méthode standard de distribution et d'organisation de la capture de données sensibles, ainsi que des éléments de design communs et un code répétitif. 79 extensions avec du code malveillant ont été publiées dans le répertoire Chrome Store et ont déjà été supprimées après l'envoi d'une notification d'activité malveillante. De nombreuses extensions malveillantes reproduisaient les fonctionnalités de diverses extensions populaires, y compris celles visant à renforcer la protection des navigateurs, à améliorer la confidentialité lors des recherches, à convertir des fichiers PDF et à changer des formats.

Les développeurs d'extensions commençaient par publier dans le Chrome Store une version propre sans code malveillant, passaient par la révision, puis ajoutaient dans une mise à jour ultérieure des modifications qui chargeaient du code malveillant après l'installation. Pour dissimuler les traces d'activité malveillante, une technique de réponse sélective était également utilisée - un téléchargement malveillant était délivré lors de la première requête, tandis que lors des suivantes, des données non suspectes étaient fournies.

Les principales voies de propagation des extensions malveillantes incluent la promotion de sites web au design professionnel (comme sur l'image ci-dessous) et leur mise en ligne sur Chrome Web Store, contournant les mécanismes de vérification pour charger ultérieurement le code depuis des sites externes. Pour contourner les restrictions sur l'installation d'extensions uniquement depuis Chrome Web Store, les attaquants ont diffusé des versions distinctes de Chromium avec des extensions préinstallées, ainsi qu'une installation via des applications publicitaires déjà présentes sur le système (Adware). Les chercheurs ont analysé 100 réseaux d'entreprises financières, médiatiques, médicales, pharmaceutiques, pétrolières et commerciales, ainsi que des établissements éducatifs et gouvernementaux, et presque tous ont révélé des traces de ces extensions malveillantes.

Au cours de la campagne de diffusion des extensions malveillantes, plus de 15 000 domaines, se chevauchant avec des sites populaires (par exemple, gmaille.com, youtubeunblocked.net, etc.) ou enregistrés après l'expiration d'anciens domaines. Ces domaines ont également été utilisés dans l'infrastructure de gestion d'activités malveillantes et pour charger des injections JavaScript malveillantes exécutées dans le contexte des pages ouvertes par l'utilisateur.

Les chercheurs ont soupçonné un collusion avec le registraire de domaines Galcomm, qui a enregistré 15 000 domaines pour des actions malveillantes (60 % de tous les domaines délivrés par ce registraire), mais les représentants de Galcomm ont démenti ces allégations et ont indiqué que 25 % des domaines mentionnés avaient déjà été supprimés ou n'avaient pas été délivrés par Galcomm, et que la plupart d'entre eux étaient simplement des domaines inactifs et parkés. Les représentants de Galcomm ont également déclaré qu'avant la divulgation publique du rapport, personne ne les avait contactés, et qu'ils avaient reçu une liste de domaines utilisés à des fins malveillantes d'une tierce partie et procèdent maintenant à leur analyse.

Les chercheurs ayant identifié le problème comparent les extensions malveillantes à un nouveau rootkit — la plupart des activités des utilisateurs se déroulent via un navigateur, par lequel ils accèdent à des espaces de stockage partagés, des systèmes d'information d'entreprise et des services financiers. Dans ces conditions, il n'est pas judicieux pour les cybercriminels de rechercher des moyens de compromettre complètement le système d'exploitation pour installer un rootkit, — il est beaucoup plus simple de s'assurer que l'extension de navigateur malveillante soit installée et de contrôler à travers elle les flux de données confidentielles. En plus de contrôler les données en transit, l'extension peut demander des autorisations pour accéder aux données locales, à la webcam, à la localisation. Comme le prouve l'expérience, la plupart des utilisateurs ne prêtent pas attention aux autorisations demandées, et 80 % des 1000 extensions populaires demandent l'accès à toutes les données des pages traitées.

Source : opennet.ru