111 תוספים של Chrome שהורדו 32 מיליון פעמים נמצאו שמורידים נתונים רגישים

חברת אבטחה ערה דווח על זיהוי 111 תוספות ל-Google Chrome, שליחת נתוני משתמש חסויים לשרתים חיצוניים. לתוספות הייתה גם גישה לצלם צילומי מסך, קריאת תוכן הלוח, ניתוח נוכחות של אסימוני גישה ב-Cookies, ויירט קלט בטפסי אינטרנט. בסך הכל, התוספות הזדוניות שזוהו הסתכמו ב-32.9 מיליון הורדות בחנות האינטרנט של Chrome, והפופולרי ביותר (Search Manager) הורד 10 מיליון פעמים וכולל 22 אלף ביקורות.

ההנחה היא שכל התוספות הנחשבות הוכנו על ידי צוות תוקפים אחד, שכן בסך הכל בשימוש תכנית טיפוסית להפצה וארגון לכידת נתונים סודיים, כמו גם אלמנטים עיצוביים נפוצים וקוד חוזר. 79 תוספות עם קוד זדוני הוצבו בקטלוג חנות Chrome וכבר נמחקו לאחר שליחת התראה על פעילות זדונית. תוספות זדוניות רבות העתיקו את הפונקציונליות של תוספות פופולריות שונות, כולל אלו שמטרתן לספק אבטחת דפדפן נוספת, הגדלת פרטיות החיפוש, המרת PDF והמרת פורמטים.

מפתחי תוספים פרסמו תחילה גרסה נקייה ללא קוד זדוני בחנות Chrome, עברו ביקורת עמיתים, ולאחר מכן הוסיפו שינויים באחד העדכונים שטענו קוד זדוני לאחר ההתקנה. כדי להסתיר עקבות של פעילות זדונית, נעשה שימוש גם בטכניקת תגובה סלקטיבית - הבקשה הראשונה החזירה הורדה זדונית, ובקשות שלאחר מכן החזירו נתונים לא חשודים.

הדרכים העיקריות שבהן תוספות זדוניות מתפשטות הן באמצעות קידום אתרים בעלי מראה מקצועי (כמו בתמונה למטה) והצבה בחנות האינטרנט של Chrome, תוך עקיפת מנגנוני אימות להורדה של קוד מאתרים חיצוניים. כדי לעקוף את ההגבלות על התקנת תוספות רק מחנות האינטרנט של Chrome, התוקפים הפיצו מכלולים נפרדים של Chromium עם הרחבות מותקנות מראש, וגם התקינו אותם דרך יישומי פרסום (Adware) שכבר קיימים במערכת. חוקרים ניתחו 100 רשתות של חברות פיננסיות, תקשורתיות, רפואיות, תרופות, חברות נפט וגז ומסחר, כמו גם מוסדות חינוך וממשל, ומצאו עקבות להימצאות התוספות הזדוניות כמעט בכולן.

במהלך הקמפיין להפצת תוספות זדוניות, יותר מ 15 אלף דומיינים, מצטלבים עם אתרים פופולריים (לדוגמה, gmaille.com, youtubeunblocked.net וכו') או רשום לאחר תום תקופת החידוש עבור דומיינים קיימים בעבר. דומיינים אלו שימשו גם בתשתית ניהול פעילות זדונית ולהורדת תוספות זדוניות של JavaScript שבוצעו בהקשר של הדפים שהמשתמש פתח.

חוקרים חשדו בקנוניה עם רשם הדומיינים של גלקום, שבה נרשמו 15 אלף דומיינים לפעולות זדוניות (60% מכלל הדומיינים שהונפקו על ידי רשם זה), אך נציגי גלקום הכחיש הנחות אלו הצביעו על כך ש-25% מהדומיינים הרשומים כבר נמחקו או לא הונפקו על ידי גלקום, והשאר, כמעט כולם הם דומיינים חונים לא פעילים. נציגי גלקום דיווחו גם כי איש לא פנה אליהם לפני החשיפה לציבור של הדו"ח, והם קיבלו רשימה של דומיינים המשמשים למטרות זדוניות מצד שלישי וכעת הם מבצעים את הניתוח שלהם עליהם.

החוקרים שזיהו את הבעיה משווים את התוספות הזדוניות ל-rootkit חדש - עיקר פעילותם של משתמשים רבים מתבצעת באמצעות דפדפן, דרכו הם ניגשים לאחסון מסמכים משותף, למערכות מידע ארגוניות ולשירותים פיננסיים. בתנאים כאלה, אין זה הגיוני שתוקפים יחפשו דרכים לסכן לחלוטין את מערכת ההפעלה כדי להתקין ערכת rootkit מלאה - הרבה יותר קל להתקין תוסף דפדפן זדוני ולשלוט בזרימת הנתונים הסודיים באמצעות זה. בנוסף לניטור נתוני תחבורה ציבורית, התוסף יכול לבקש הרשאות גישה לנתונים מקומיים, מצלמת אינטרנט או מיקום. כפי שמראה בפועל, רוב המשתמשים אינם שמים לב להרשאות המבוקשות, ו-80% מ-1000 התוספות הפופולריות מבקשות גישה לנתונים של כל הדפים המעובדים.

מקור: OpenNet.ru