Firma Awake Security o wykrywaniu do Google Chrome, które wysyłały poufne dane użytkowników na zewnętrzne serwery. W tym rozszerzenia miały dostęp do robienia zrzutów ekranu, odczytu zawartości schowka, analizy obecności tokenów dostępu w plikach cookie oraz przechwytywania danych w formularzach internetowych. W sumie wykryte złośliwe rozszerzenia miały 32,9 mln pobrań w Chrome Web Store, a najbardziej popularne (Search Manager) zostało pobrane 10 mln razy i ma 22 tysiące recenzji.
Zakłada się, że wszystkie rozpatrywane rozszerzenia zostały przygotowane przez jeden zespół przestępców, ponieważ we wszystkich standardowy schemat rozprzestrzeniania i organizacji przechwytywania poufnych danych, a także występują wspólne elementy designu i powtarzający się kod. z złośliwym kodem zostało umieszczonych w katalogu Chrome Store i już usuniętych po wysłaniu powiadomienia o złośliwej aktywności. Wiele złośliwych rozszerzeń kopiowało funkcjonalność różnych popularnych rozszerzeń, w tym ukierunkowanych na zapewnienie dodatkowej ochrony przeglądarki, zwiększenie prywatności podczas wyszukiwania, konwersję PDF i przetwarzanie formatów.
Programiści rozszerzeń początkowo umieszczali w Chrome Store czystą wersję bez złośliwego kodu, przechodzili recenzję, a potem w jednej z aktualizacji wprowadzali zmiany, które ładowały złośliwy kod po zainstalowaniu. Aby ukryć ślady złośliwej aktywności, stosowano także technikę selektywnych odpowiedzi — przy pierwszym żądaniu wydawano złośliwe pobranie, a przy kolejnych niebudzące podejrzeń dane.
Główne sposoby dystrybucji złośliwych dodatków obejmują promocję profesjonalnie wyglądających stron internetowych (jak na zdjęciu poniżej) i zamieszczanie ich w Chrome Web Store, omijając mechanizmy weryfikacji, aby pobrać kod z zewnętrznych stron. Aby obejść ograniczenia dotyczące instalacji dodatków tylko z Chrome Web Store, atakujący rozprzestrzeniali oddzielne wersje Chromium z preinstalowanymi dodatkami, a także instalowano je przez istniejące w systemie aplikacje reklamowe (Adware). Badacze przeanalizowali 100 sieci finansowych, medialnych, medycznych, farmaceutycznych, naftowych i handlowych, a także edukacyjnych i instytucji państwowych, i w prawie wszystkich z nich wykryli ślady obecności omawianych złośliwych dodatków.
W trakcie kampanii rozprzestrzeniania złośliwych dodatków zarejestrowano ponad , które kolidowały z popularnymi stronami (np. gmaille.com, youtubeunblocked.net itp.) lub zostały zarejestrowane po upływie terminu odnowienia wcześniej istniejących domen. Te domeny były również używane w infrastrukturze zarządzania złośliwą działalnością oraz do ładowania złośliwych skryptów JavaScript, które były wykonywane w kontekście otwieranych przez użytkowników stron.
Badacze podejrzewali zmowę z rejestratorem domen Galcomm, w którym zarejestrowano 15 tysięcy domen do złośliwej działalności (60% wszystkich wydanych domen przez tego rejestratora), jednak przedstawiciele Galcomm tym przypuszczeniom i wskazali, że 25% spośród wymienionych domen zostało już usuniętych lub zostało wydanych przez innego rejestratora, a prawie wszystkie pozostałe to nieaktywne domeny zaparkowane. Przedstawiciele Galcomm również stwierdzili, że przed publicznym ujawnieniem raportu nikt się do nich nie zgłaszał, a oni otrzymali listę domen stosowanych do złośliwych celów od osoby trzeciej i teraz prowadzą własne badania w tej sprawie.
Badacze, którzy zidentyfikowali problem, porównują złośliwe dodatki do nowego rootkita — główne działania wielu użytkowników odbywają się przez przeglądarki, które służą do uzyskania dostępu do wspólnych przestrzeni dokumentów, systemów informacyjnych firm oraz usług finansowych. W takich sytuacjach złoczyńcom nie opłaca się szukać sposobów na całkowitą kompromitację systemu operacyjnego, aby zainstalować pełnoprawnego rootkita — o wiele łatwiej jest osiągnąć instalację złośliwego dodatku do przeglądarki i kontrolować przez niego przepływy poufnych danych. Oprócz kontroli nad danymi w tranzycie, dodatek może poprosić o uprawnienia do dostępu do danych lokalnych, kamery internetowej i lokalizacji. Jak pokazuje praktyka, większość użytkowników nie zwraca uwagi na wymagane uprawnienia, a 80% z 1000 popularnych dodatków żąda dostępu do danych ze wszystkich przetwarzanych stron.
Źródło: opennet.ru
