크롬 애드온 111개, 32만 다운로드, 민감한 데이터 다운로드 적발

어웨이크 시큐리티 컴퍼니 보고 식별에 대해 111개 추가 Chrome으로 기밀 사용자 데이터를 외부 서버로 보냅니다. 추가 기능에는 스크린샷 찍기, 클립보드 내용 읽기, 쿠키의 액세스 토큰 존재 분석, 웹 양식의 입력 가로채기에 대한 액세스 권한도 있었습니다. 확인된 악성 추가 기능은 Chrome 웹 스토어에서 총 32.9만 다운로드를 기록했으며, 가장 인기 있는 애드온(검색 관리자)은 10만 다운로드를 기록했으며 22개의 리뷰를 포함하고 있습니다.

고려된 모든 추가 사항은 한 팀의 공격자에 의해 준비되었다고 가정합니다. 사용되었다 기밀 데이터 캡처와 공통 설계 요소 및 반복 코드를 배포하고 구성하기 위한 일반적인 체계입니다. 79개 추가 악성 코드가 포함된 파일은 Chrome 스토어 카탈로그에 포함되어 있으며 악성 활동에 대한 알림을 보낸 후 이미 삭제되었습니다. 많은 악성 추가 기능은 추가 브라우저 보안 제공, 검색 개인 정보 보호 강화, PDF 변환 및 형식 변환을 목적으로 하는 다양한 인기 추가 기능의 기능을 복사했습니다.

부가기능 개발자들은 우선 크롬 스토어에 악성코드가 없는 클린 버전을 게시하고 동료평가를 거친 뒤, 설치 후 악성코드를 로드하는 업데이트 중 하나에 변경사항을 추가했다. 악의적인 활동의 흔적을 숨기기 위해 선택적 응답 기술도 사용되었습니다. 첫 번째 요청에서는 악성 다운로드를 반환했고 후속 요청에서는 의심스럽지 않은 데이터를 반환했습니다.

악성 추가 기능이 확산되는 주요 방법은 전문적인 사이트 홍보(아래 그림 참조) 및 Chrome 웹 스토어 배치를 통해 이후 외부 사이트에서 코드를 다운로드하기 위한 확인 메커니즘을 우회하는 것입니다. 공격자는 Chrome 웹 스토어에서만 추가 기능을 설치할 수 있는 제한 사항을 우회하기 위해 사전 설치된 추가 기능이 포함된 별도의 Chromium 어셈블리를 배포하고 시스템에 이미 존재하는 광고 애플리케이션(애드웨어)을 통해 이를 설치했습니다. 연구원들은 금융, 미디어, 의료, 제약, 석유 및 가스, 무역 회사는 물론 교육 및 정부 기관의 네트워크 100개를 분석한 결과 거의 모든 네트워크에서 악성 애드온이 존재하는 흔적을 발견했습니다.

악성 애드온 배포 캠페인 동안, 도메인 15개, 인기 사이트(예: gmaille.com, youtubeunblocked.net 등)와 교차하거나 기존 도메인의 갱신 기간 만료 후 등록됩니다. 이러한 도메인은 악성 활동 관리 인프라에도 사용되었으며 사용자가 연 페이지의 컨텍스트에서 실행된 악성 JavaScript 삽입물을 다운로드하는 데에도 사용되었습니다.

연구원들은 갤컴 도메인 등록기관과의 공모 의혹을 제기했는데, 여기에는 15만 60천개(이 등록기관이 발급한 전체 도메인 중 XNUMX%)의 악의적인 활동을 위한 도메인이 등록됐으나 갤컴 대표는 반증 이러한 가정은 나열된 도메인의 25%가 이미 삭제되었거나 Galcomm에서 발급되지 않았으며 나머지는 거의 모두 비활성 선점 도메인임을 나타냅니다. 갤컴 관계자도 보고서가 공개되기 전에는 누구도 연락한 적이 없으며, 제XNUMX자로부터 악의적인 목적으로 사용된 도메인 목록을 전달받아 현재 분석을 진행 중이라고 전했다.

문제를 확인한 연구원들은 악성 애드온을 새로운 루트킷과 비교합니다. 많은 사용자의 주요 활동은 공유 문서 저장소, 기업 정보 시스템 및 금융 서비스에 액세스하는 브라우저를 통해 수행됩니다. 이러한 상황에서 공격자가 본격적인 루트킷을 설치하기 위해 운영 체제를 완전히 손상시키는 방법을 찾는 것은 의미가 없습니다. 악성 브라우저 추가 기능을 설치하고 다음을 통해 기밀 데이터의 흐름을 제어하는 ​​것이 훨씬 쉽습니다. 그것. 대중교통 데이터를 모니터링하는 것 외에도 추가 기능은 로컬 데이터, 웹 카메라 또는 위치에 액세스할 수 있는 권한을 요청할 수 있습니다. 실습에서 알 수 있듯이 대부분의 사용자는 요청된 권한에 주의를 기울이지 않으며 80개의 인기 있는 추가 기능 중 1000%가 처리된 모든 페이지의 데이터에 대한 액세스를 요청합니다.

출처 : opennet.ru