del blocco di una serie di estensioni dannose per il browser Chrome, di cui sono stati vittime milioni di utenti. Nella prima fase, l ricercatrice indipendente Jamila Kaya () e la società Duo Security hanno identificato nel catalogo di Chrome Web Store 71 estensioni dannose. In totale, le suddette estensioni avevano accumulato oltre 1,7 milioni di installazioni. Dopo aver informato Google del problema, nel catalogo sono state scoperte oltre 430 estensioni simili, il cui numero di installazioni non è stato comunicato.
È interessante notare che, nonostante l'alto numero di installazioni, nessuna delle estensioni problematiche aveva recensioni degli utenti, il che solleva domande su come siano state installate e come l'attività dannosa sia rimasta inosservata. Attualmente, tutte le estensioni problematiche sono state rimosse da Chrome Web Store.
Secondo i ricercatori, l'attività dannosa legata alle estensioni bloccate è in corso dal gennaio 2019, ma alcuni domini utilizzati per attività dannose erano stati registrati già nel 2017.
Nella maggior parte dei casi, le estensioni dannose erano presentate come strumenti per la promozione di prodotti e la partecipazione a servizi pubblicitari (l'utente visualizza pubblicità e riceve guadagni). Nelle estensioni era utilizzata una tecnica di reindirizzamento a siti pubblicizzati all'apertura delle pagine, che venivano visualizzate in sequenza prima della visualizzazione del sito richiesto.
Tutte le estensioni utilizzavano una tecnica simile per nascondere l'attività dannosa e aggirare i meccanismi di verifica delle estensioni in Chrome Web Store. Il codice di tutte le estensioni era praticamente identico a livello di sorgente, ad eccezione dei nomi delle funzioni, che erano unici in ciascuna estensione. La logica dannosa veniva trasmessa da server di gestione centralizzati. Inizialmente, l'estensione si connetteva a un dominio con lo stesso nome dell'estensione (ad esempio, Mapstrek.com), per poi essere reindirizzata a uno dei server di gestione che fornivano uno script per le azioni successive.
Tra le azioni realizzate tramite le estensioni si menzionano il caricamento di dati riservati dell'utente su server esterni, il reindirizzamento verso siti malevoli e la complicità nell'installazione di applicazioni dannose (per esempio, viene visualizzato un messaggio di infezione del computer e viene offerto software malevolo sotto forma di antivirus o aggiornamento del browser). Tra i domini verso cui avveniva il reindirizzamento figurano vari domini phishing e siti per l'esploitazione di browser non aggiornati, contenenti vulnerabilità non risolte (ad esempio, dopo l'exploit si tentava di installare software dannoso che intercettava le credenziali e analizzava la trasmissione di dati riservati tramite il copia e incolla).
Fonte: opennet.ru
