Podjetje Awake Security o odkrivanju za Google Chrome, ki pošiljajo občutljive podatke uporabnikov na zunanje strežnike. Med drugim so razširitve imele dostop do ustvarjanja posnetkov zaslona, branja vsebine odložišča, analizi prisotnosti dostopnih žetonov v piškotkih in prestrezanju vnosa v spletnih obrazcih. Skupaj so odkriti zlonamerni dodatki dosegli 32,9 milijona prenosov v Chrome Web Store, pri čemer je bila najbolj priljubljena (Sеarch Manager), ki je bila prenesena 10 milijonov krat in vključuje 22 tisoč ocen.
Predvideva se, da so vse obravnavane razširitve pripravili enaka skupina zlonamerne programske opreme, saj vse tipična shema širjenja in organizacije zajema občutljivih podatkov, poleg tega pa se pojavljajo skupni elementi oblikovanja in ponavljajoča se koda. z zlonamerno kodo so bile objavljene v katalogu Chrome Store in so bile že odstranjene po poslanem obvestilu o zlonamerni aktivnosti. Mnogi zlonamerni dodatki so kopirali funkcionalnosti različnih priljubljenih razširitev, vključno z večjo zaščito brskalnika, povečanjem zasebnosti pri iskanju, pretvorbo PDF-jev in konverzijo formatov.
Razvijalci razširitev so najprej v Chrome Store objavili čisto različico brez zlonamerne kode, opravili so pregled, nato pa so v enem od posodobitev dodali spremembe, ki so po namestitvi naložile zlonamerno kodo. Za skrivanje sledi zlonamerne aktivnosti je bila uporabljena tudi tehnika selektivnih odgovorov — ob prvem povpraševanju je bila izdana zlonamerna naložba, pri kasnejših pa podatki, ki ne vzbujajo suma.
Osnovni načini širenja zlonamernih dodataka uključuju promociju profesionalno izgledajućih sajtova (kao na slici ispod) i objavljivanje na Chrome Web Store-u, obešavajući mehanizme provere za kasnije preuzimanje koda sa spoljnog sajta. Da bi zaobišli ograničenja za instalaciju dodataka isključivo iz Chrome Web Store-a, napadači su distribuirali posebne verzije Chromium-a sa unapred instaliranim dodacima, kao i vršili instalaciju putem već prisutnih reklamnih aplikacija u sistemu (Adware). Istraživači su analizirali 100 mreža finansijskih, medijskih, medicinskih, farmaceutskih, naftnih i trgovinskih kompanija, kao i obrazovnih i državnih institucija, i gotovo svuda su pronašli tragove prisutnosti navedenih zlonamernih dodataka.
Tokom kampanje za širenje zlonamernih dodataka registrovano je više od , koji se preklapaju sa popularnim sajtovima (na primer, gmaille.com, youtubeunblocked.net itd.) ili su registrovani nakon isteka roka za obnovu prethodnih domena. Ovi domeni su takođe korišćeni u infrastrukturnim mrežama za upravljanje zlonamernim aktivnostima i za preuzimanje zlonamernih JavaScript umetaka, koji se izvršavaju u kontekstu stranica koje korisnici otvaraju.
Istraživači su posumnjali na dogovor sa registrarom domena Galcomm, kod kojeg je registrovano 15 hiljada domena za zlonamerne aktivnosti (60% od svih domena koji su registrovani kod ovog registra), ali su predstavnici Galcomm ove navode i istakli da je 25% od navedenih domena već obrisano ili da nisu registrovani kod Galcomm, dok su svi ostali gotovo svi neaktivni parkirani domeni. Predstavnici Galcomm su takođe rekli da im se pre javnog objavljivanja izveštaja niko nije obratio, i da su dobili spisak domena korišćenih u zlonamerne svrhe od treće strane i sada rade na njihovoj analizi.
Raziskovalci, ki so odkrili težavo, primerjajo zlonamerne dodatke z novim rootkitom — osnovna dejavnost mnogih uporabnikov poteka preko brskalnika, prek katerega dostopajo do skupnih dokumentnih shranjevanj, korporativnih informacijskih sistemov in finančnih storitev. V takšnih razmerah nimajo zlonamerni akterji smisla iskati poti za popolno kompromitacijo operacijskega sistema za namestitev popolnega rootkita — veliko lažje je doseči namestitev zlonamernega brskalniškega dodatka in prek njega nadzorovati tokove zaupnih podatkov. Poleg nadzora nad tranzitnimi podatki lahko dodatak zahteva pooblastila za dostop do lokalnih podatkov, spletne kamere, lokacije. Kot kaže praksa, večina uporabnikov ne posveča pozornosti zahtevanim pooblastilom, in 80% od 1000 priljubljenih dodatkov zahteva dostop do podatkov vseh obdelanih strani.
Izvor: opennet.ru
