Awake Security cég a felfedezéséről a Google Chrome számára, amelyek érzékeny felhasználói adatokat küldtek külső szerverekre. A bővítmények hozzáfértek a képernyőképek készítéséhez, a vágólap tartalmának olvasásához, a hozzáférési tokenek Cookie-ban való elemzéséhez és a webformákba történő bevitel elfogásához. Összesen a felfedezett kártékony bővítmények 32,9 millió letöltést számláltak a Chrome Web Store-ban, a legnépszerűbb (Sеarch Manager) 10 millió alkalommal került letöltésre és 22 ezer értékelést kapott.
Feltételezhető, hogy az összes érintett bővítményt egyetlen hacker csapat készítette, mivel mindegyikben tipikus modell figyelhető meg az érzékeny adatok terjesztésére és megszerzésére, emellett közös dizájnelemek és ismétlődő kódok találhatók. kártékony kóddal eltávolításra kerültek a Chrome Store katalógusából, miután értesítést kaptak a kártékony tevékenységről. Sok kártékony bővítmény különböző népszerű bővítmények funkcióját másolta, beleértve a böngésző további védelmét, a keresési magánélet növelését, PDF átalakítást és formátumok konvertálását.
A bővítmények fejlesztői kezdetben egy tiszta verziót helyeztek el a Chrome Store-ban kártékony kód nélkül, átmentek a felülvizsgálaton, majd egy frissítés során kártékony kódot töltöttek le a telepítés után. A kártékony tevékenység nyomainak eltüntetésére szelektív válaszadási technikát is alkalmaztak – az első kéréskor kártékony letöltés történt, míg a továbbiakban gyanútlan adatokat szolgáltattak.
A kártékony bővítmények terjedésének fő útjai között szerepelnek a professzionálisan megjelenő weboldalak népszerűsítése (mint az alábbi képen) és a Chrome Web Store-ban való elhelyezés, megkerülve a ellenőrzések mechanizmusát a kód külső weboldalakról való későbbi betöltésére. Azok, akik meg akarták kerülni a bővítmények Chrome Web Store-ból való telepítésére vonatkozó korlátozásokat, különböző Chromium-összeállításokat terjesztettek előre telepített bővítményekkel, valamint telepítést végeztek már a rendszert jelen lévő reklámalkalmazások (Adware) által. A kutatók 100 pénzügyi, médiaközpontú, orvosi, gyógyszeripari, olaj- és gázipari cég, valamint oktatási és állami intézmény hálózatát elemezték, és szinte mindegyikükben nyomokat találtak a vizsgált kártékony bővítmények jelenlétére.
A kártékony bővítmények terjesztésére irányuló kampány során több mint regisztráltak, amelyek átfedik a népszerű weboldalakat (például gmaille.com, youtubeunblocked.net stb.) vagy olyan domainokat, amelyek a korábbi lejárati idő után lettek regisztrálva. Ezeket a domaineket a kártékony tevékenység irányításához és a felhasználók által megnyitott oldalak kontextusában végrehajtott kártékony JavaScript-injektálások letöltésére is használták.
A kutatók gyanítják, hogy a Galcomm domainregisztrálóval való colluzió történt, amely 15 ezer domaint regisztrált kártékony tevékenységekre (a Galcomm által kiadott domainek 60%-a), de a Galcomm képviselői ezt a feltételezést, és megjegyezték, hogy a felsorolt domainek 25%-a már törlésre került vagy nem Galcomm által lett kiadva, a többi szinte mindaktív parkolt domain. A Galcomm képviselői szintén elmondták, hogy a nyilvános jelentés közzététele előtt senki sem fordult hozzájuk, és egy harmadik féltől kapták a kártékony célokra használt domainek listáját, és most a saját vizsgálatukat végzik rajtuk.
A probléma feltáró kutatók a rosszindulatú bővítményeket egy új rootkittel hasonlítják össze — a felhasználók fő tevékenysége a böngészőkön keresztül zajlik, amelyek hozzáférést biztosítanak a közös dokumentumtárakhoz, vállalati információs rendszerekhez és pénzügyi szolgáltatásokhoz. Ilyen körülmények között a rosszindulatú elemeknek nincs értelme teljes mértékben kompromittálni az operációs rendszert, hogy valódi rootkitet telepítsenek; sokkal egyszerűbb, ha elérik a rosszindulatú böngészőbővítmény telepítését, és ezen keresztül irányítják a bizalmas adatok áramlását. A tranzitadatok ellenőrzése mellett a bővítmény jogosultságokat kérhet a helyi adatokhoz, a webkamerához és a helymeghatározáshoz. A gyakorlat azt mutatja, hogy a felhasználók többsége nem figyel a kért jogosultságokra, és a 1000 legnépszerűbb bővítmény 80%-a hozzáférést kér az összes feldolgozott oldal adatához.
Forrás: opennet.ru
