Azienda Awake Security sull'identificazione per Google Chrome che inviavano dati riservati dell'utente a server esterni. Inoltre, le estensioni avevano accesso alla creazione di screenshot, alla lettura del contenuto degli appunti, all'analisi della presenza di token di accesso nei Cookie e all'intercettazione dell'input nei web form. In totale, le estensioni dannose identificate hanno raggiunto 32,9 milioni di download nel Chrome Web Store, la più popolare (Sеarch Manager) è stata scaricata 10 milioni di volte e include 22 mila recensioni.
Si suppone che tutte le estensioni esaminate siano state preparate da un'unica squadra di malintenzionati, poiché in tutte una tipica strategia di distribuzione e organizzazione per il catturamento di dati riservati, e si riscontrano anche elementi comuni di design e codice ripetuto. con codice dannoso sono state pubblicate nel catalogo Chrome Store e sono già state rimosse dopo l'invio di una notifica riguardo l'attività malevola. Molte estensioni dannose replicavano la funzionalità di varie estensioni popolari, comprese quelle mirate a fornire ulteriore protezione del browser, a migliorare la riservatezza nelle ricerche, alla conversione di PDF e alla conversione di formati.
Gli sviluppatori delle estensioni inizialmente pubblicavano nel Chrome Store una versione pulita senza codice dannoso, superavano la revisione e poi, in uno degli aggiornamenti, aggiungevano modifiche che caricavano codice dannoso dopo l'installazione. Per nascondere le tracce dell'attività malevola, veniva utilizzata anche la tecnica delle risposte selettive: alla prima richiesta veniva fornito un download dannoso, mentre per le successive venivano forniti dati non sospetti.
Le principali modalità di diffusione delle estensioni dannose includono la promozione di siti dall'aspetto professionale (come nell'immagine sottostante) e la loro pubblicazione nel Chrome Web Store, aggirando i meccanismi di verifica per successivi download di codice da siti esterni. Per eludere le restrizioni sull'installazione di estensioni solo dal Chrome Web Store, gli attaccanti hanno distribuito versioni modificate di Chromium con estensioni preinstallate, e hanno anche effettuato installazioni tramite applicazioni pubblicitarie già presenti nel sistema (Adware). I ricercatori hanno analizzato 100 reti di aziende nei settori finanziario, media, medico, farmaceutico, petrolifero e commerciale, oltre a istituzioni educative e governative, scoprendo tracce delle suddette estensioni dannose in quasi tutte.
Durante la campagna di diffusione delle estensioni dannose sono stati registrati oltre , che si sovrappongono a siti popolari (ad esempio, gmaille.com, youtubeunblocked.net, ecc.) o registrati dopo la scadenza di domini esistenti. Questi domini sono stati utilizzati anche nell'infrastruttura di gestione dell'attività dannosa e per il download di inserimenti JavaScript dannosi, eseguiti nel contesto delle pagine aperte dall'utente.
I ricercatori hanno sospettato un colluso con il registrar di domini Galcomm, presso il quale sono stati registrati 15 mila domini per attività dannose (60% di tutti i domini emessi da questo registrar), ma i rappresentanti di Galcomm queste ipotesi, affermando che il 25% dei domini elencati è già stato rimosso o è stato emesso non da Galcomm, mentre la maggior parte degli altri è composta da domini parcheggiati inattivi. I rappresentanti di Galcomm hanno anche comunicato che prima della divulgazione pubblica del rapporto nessuno si era rivolto a loro e hanno ricevuto un elenco di domini utilizzati per scopi dannosi da una terza parte, e ora stanno effettuando la propria analisi.
I ricercatori che hanno identificato il problema confrontano le estensioni dannose con un nuovo rootkit: la maggior parte delle attività degli utenti avviene tramite browser, che vengono utilizzati per accedere a archivi documentali condivisi, sistemi informatici aziendali e servizi finanziari. In tali circostanze, ai malintenzionati non conviene cercare vie per una compromissione totale del sistema operativo al fine di installare un rootkit completo; è molto più semplice far installare un'estensione dannosa per il browser e controllare tramite essa i flussi di dati riservati. Oltre al monitoraggio dei dati in transito, l'estensione può richiedere autorizzazioni per accedere ai dati locali, alla webcam, alla geolocalizzazione. Come mostra la pratica, la maggior parte degli utenti non presta attenzione alle autorizzazioni richieste, e l'80% delle 1000 estensioni più popolari richiede accesso ai dati di tutte le pagine elaborate.
Fonte: opennet.ru
