van het blokkeren van een serie kwaadwillige browserextensies voor Chrome, waarvan miljoenen gebruikers slachtoffer zijn geworden. In de eerste fase heeft onafhankelijke onderzoeker Jamila Kaya () en het bedrijf Duo Security 71 kwaadwillige extensies in de Chrome Web Store ontdekt. In totaal hadden deze extensies meer dan 1,7 miljoen installaties. Na melding van het probleem aan Google werden er nog meer dan 430 soortgelijke extensies in de catalogus gevonden, waarvan het aantal installaties niet is vermeld.
Het is opmerkelijk dat ondanks het indrukwekkende aantal installaties, er geen gebruikersrecensies zijn voor de probleemextensies, wat vragen oproept over hoe deze extensies zijn geĆÆnstalleerd en hoe de kwaadwillige activiteiten onopgemerkt konden blijven. Momenteel zijn alle problematische extensies uit de Chrome Web Store verwijderd.
Volgens de onderzoekers wordt de kwaadwillige activiteit met de geblokkeerde extensies al sinds januari 2019 uitgevoerd, maar afzonderlijke domeinen die voor kwaadwillige activiteiten werden gebruikt, waren al in 2017 geregistreerd.
De meeste kwaadwillige extensies werden gepresenteerd als tools voor productpromotie en deelname aan advertentiediensten (de gebruiker bekijkt advertenties en ontvangt vergoedingen). In de extensies werd een techniek toegepast waarbij gebruikers werden doorgestuurd naar de geadverteerde websites bij het openen van pagina's, die om de beurt werden weergegeven voordat de aangevraagde website werd getoond.
Alle extensies maakten gebruik van een soortgelijke techniek om kwaadaardige activiteiten te verbergen en de verificatiemechanismen van extensies in de Chrome Web Store te omzeilen. De code van alle extensies was praktisch identiek op het niveau van de bronteksten, met uitzondering van de functienamen, die in elke extensie uniek waren. De overbrenging van de kwaadwillige logica vond plaats vanaf gecentraliseerde beheerservers. Eerst verbond de extensie met een domein dat dezelfde naam had als de extensie (bijvoorbeeld Mapstrek.com), waarna het werd doorgestuurd naar een van de beheerservers die het script voor verdere acties verstrekte.
Onder de acties die via de aanvullingen worden uitgevoerd, wordt de upload van vertrouwelijke gebruikersgegevens naar externe servers genoemd, doorsturen naar kwaadwillende websites en het toestaan van de installatie van kwaadwillende applicaties (bijvoorbeeld verschijnt er een bericht over een besmette computer en wordt kwaadwillende software aangeboden onder de naam van een antivirus of browserupdate). Onder de domeinen waarnaar werd doorgestuurd, bevinden zich verschillende phishing-domeinen en websites voor het exploiteren van niet-geĆ¼pdatete browsers, die onverholpen kwetsbaarheden bevatten (bijvoorbeeld na de exploitatie werden pogingen ondernomen om kwaadwillende programma's te installeren die toegangssleutels onderscheppen en de overdracht van vertrouwelijke gegevens via het klembord analyseren).
Bron: opennet.ru
