Azienda Awake Security sulla rilevazione per Google Chrome che inviano dati riservati degli utenti a server esterni. Tra queste, le estensioni avevano accesso alla creazione di screenshot, alla lettura del contenuto degli appunti, all'analisi della presenza di token di accesso nei Cookie e all'intercettazione degli input nei moduli web. In totale, le estensioni dannose identificate hanno totalizzato 32.9 milioni di download nel Chrome Web Store, con la più popolare (Sеarch Manager) scaricata 10 milioni di volte e con 22 mila recensioni.
Si presume che tutte le estensioni esaminate siano state preparate da un unico gruppo di malintenzionati, poiché in tutte si può osservare uno schema tipico di distribuzione e di cattura di dati riservati, così come elementi di design comuni e codice ripetuto. Codici dannosi sono stati pubblicati nel catalogo Chrome Store e sono già stati rimossi dopo aver ricevuto un avviso di attività dannosa. Molti di questi componenti aggiuntivi malevoli imitavano la funzionalità di vari componenti aggiuntivi popolari, compresi quelli mirati a fornire una maggiore protezione del browser, migliorare la privacy nelle ricerche, convertire PDF e cambiare formati.
Inizialmente, gli sviluppatori dei componenti aggiuntivi pubblicavano nel Chrome Store una versione pulita senza codice dannoso, superavano la revisione e poi, in uno degli aggiornamenti, apportavano modifiche che caricavano codice dannoso dopo l’installazione. Per nascondere le tracce di attività dannosa veniva anche utilizzata la tecnica delle risposte selective: alla prima richiesta veniva fornito un download dannoso, mentre alle successive venivano dati dati non sospetti.
Tra le principali modalità di diffusione delle estensioni dannose si evidenziano la promozione di siti dall'aspetto professionale (come mostrato nell'immagine qui sotto) e la pubblicazione nel Chrome Web Store, eludendo i meccanismi di controllo per successivi caricamenti di codice da siti esterni. Per aggirare le restrizioni sull'installazione di estensioni solo dal Chrome Web Store, gli attaccanti hanno diffuso versioni modificate di Chromium con estensioni preinstallate, nonché hanno effettuato installazioni tramite applicazioni pubblicitarie già presenti nel sistema (Adware). I ricercatori hanno analizzato 100 reti di aziende nei settori finanziario, media, medico, farmaceutico, petrolifero e commerciale, così come istituzioni educative e governative, riscontrando tracce delle estensioni dannose in quasi tutte queste reti.
Durante la campagna di diffusione delle estensioni dannose sono stati registrati più di , che si sovrappongono a siti popolari (come gmaille.com, youtubeunblocked.net, ecc.) o registrati dopo la scadenza dei domini precedenti. Questi domini sono stati utilizzati anche nell'infrastruttura di gestione di attività dannose e per il caricamento di inserimenti JavaScript maligni, eseguiti nel contesto delle pagine aperte dall'utente.
I ricercatori hanno sospettato un accordo con il registrar di domini Galcomm, presso il quale sono stati registrati 15.000 domini per attività malevole (60% di tutti i domini emessi da questo registrar), ma i rappresentanti di Galcomm queste ipotesi e hanno indicato che il 25% dei domini elencati era già stato rimosso o non era stato rilasciato da Galcomm, mentre quasi tutti gli altri sono domini parcheggiati inattivi. I rappresentanti di Galcomm hanno anche riferito che prima della pubblicazione del rapporto non erano stati contattati e avevano ricevuto l'elenco dei domini utilizzati per scopi malevoli da una terza parte e stanno ora conducendo la loro analisi.
Gli studiosi che hanno identificato il problema paragonano le estensioni dannose a un nuovo rootkit: la maggior parte delle attività degli utenti avviene attraverso il browser, il quale fornisce accesso a archivi di documenti condivisi, sistemi informativi aziendali e servizi finanziari. In tali condizioni, non ha senso per i malintenzionati cercare di compromettere completamente il sistema operativo per installare un rootkit completo; è molto più semplice far installare un'estensione browser dannosa e controllare attraverso di essa i flussi di dati riservati. Oltre al controllo dei dati in transito, l'estensione può richiedere autorizzazioni per accedere ai dati locali, alla webcam, alla posizione. Come dimostra la pratica, la maggior parte degli utenti non presta attenzione alle autorizzazioni richieste, e l'80% delle 1000 estensioni più popolari richiede accesso ai dati di tutte le pagine elaborate.
Fonte: opennet.ru
