Empresa Awake Security sobre a detecção para Google Chrome que enviam dados confidenciais do usuário para servidores externos. Entre eles, os complementos tinham acesso à criação de capturas de tela, leitura do conteúdo da área de transferência, análise da presença de tokens de acesso em cookies e interceptação de entradas em formulários web. No total, os complementos maliciosos detectados contabilizavam 32,9 milhões de downloads na Chrome Web Store, sendo que o mais popular (Search Manager) foi baixado 10 milhões de vezes e inclui 22 mil avaliações.
Supõe-se que todos os complementos examinados foram preparados por uma única equipe de criminosos, uma vez que em todos segue um esquema típico de distribuição e organização da captura de dados confidenciais, além de apresentar elementos de design comuns e código repetido. com código malicioso foram publicados no catálogo da Chrome Store e já foram removidos após o envio de um aviso sobre atividades maliciosas. Muitos complementos maliciosos copiavam a funcionalidade de vários complementos populares, incluindo aqueles focados em fornecer proteção extra ao navegador, aumento da privacidade em buscas, conversão de PDF e conversão de formatos.
Os desenvolvedores de complementos inicialmente publicavam uma versão limpa na Chrome Store sem código malicioso, passavam pela revisão e, em uma das atualizações, adicionavam alterações que carregavam código malicioso após a instalação. Para ocultar os vestígios de atividades maliciosas, também era utilizada a técnica de respostas seletivas — na primeira solicitação, era fornecido um download malicioso, enquanto nas subsequentes eram entregues dados sem levantar suspeitas.
As principais formas de disseminação de complementos maliciosos incluem a promoção de sites que parecem profissionais (como na imagem abaixo) e a publicação na Chrome Web Store, contornando os mecanismos de verificação para o carregamento posterior de código de sites externos. Para contornar as restrições de instalação de complementos apenas da Chrome Web Store, os atacantes disseminaram versões específicas do Chromium com complementos pré-instalados, além de realizar a instalação por meio de aplicativos publicitários já presentes no sistema (Adware). Pesquisadores analisaram 100 redes de empresas financeiras, de mídia, de saúde, farmacêuticas, de petróleo e gás, bem como instituições educacionais e governamentais, e quase todas elas apresentaram vestígios da presença dos complementos maliciosos em questão.
Durante a campanha de disseminação de complementos maliciosos, foram registrados mais , sobrepondo-se a sites populares (por exemplo, gmaille.com, youtubeunblocked.net, etc.) ou registrados após o término da renovação de domínios anteriormente existentes. Esses domínios também foram utilizados na infraestrutura de controle de atividades maliciosas e para o carregamento de injeções de JavaScript malicioso, executadas no contexto das páginas abertas pelos usuários.
Os pesquisadores suspeitaram de conluio com o registrador de domínios Galcomm, onde 15 mil domínios foram registrados para atividades maliciosas (60% de todos os domínios emitidos por esse registrador), mas representantes da Galcomm essas suposições e afirmaram que 25% dos domínios mencionados já foram removidos ou emitidos por outra empresa que não a Galcomm, e quase todos os restantes são domínios estacionados inativos. Representantes da Galcomm também relataram que antes da divulgação pública do relatório, ninguém havia entrado em contato com eles, e que receberam uma lista de domínios utilizados para fins maliciosos de uma terceira parte e agora estão realizando sua própria análise sobre isso.
Os pesquisadores que identificaram o problema comparam os complementos maliciosos a um novo rootkit — muitas das atividades dos usuários ocorrem por meio do navegador, que é utilizado para acessar armazenamento compartilhado de documentos, sistemas de informação corporativa e serviços financeiros. Em tais condições, os criminosos não têm interesse em comprometer totalmente o sistema operacional para instalar um rootkit completo; é muito mais simples conseguir a instalação de um complemento de navegador malicioso e controlar o fluxo de dados confidenciais através dele. Além do controle sobre os dados em trânsito, o complemento pode solicitar permissões para acessar dados locais, webcam e localização. Como mostra a prática, a maioria dos usuários não presta atenção às permissões solicitadas, e 80% dos 1000 complementos populares exigem acesso aos dados de todas as páginas processadas.
Fonte: opennet.ru
