Више од 500 злонамерних додатака је уклоњено из Цхроме веб продавнице

Резултати су сумирани блокирање низа злонамерних додатака за Цхроме претраживач, што је утицало на неколико милиона корисника. У првој фази, независни истраживач Јамила Каиа (Јамила Каиа) и Дуо Сецурити су идентификовали 71 злонамерни додатак у Цхроме веб продавници. Укупно, ови додаци су имали више од 1.7 милиона инсталација. Након што је Гоогле обавестио о проблему, у каталогу је пронађено више од 430 сличних додатака, чији број инсталација није пријављен.

Нарочито, упркос импресивном броју инсталација, ниједан од проблематичних додатака нема рецензије корисника, што поставља питања о томе како су додаци инсталирани и како је злонамерна активност остала неоткривена. Сви проблематични додаци су сада уклоњени из Цхроме веб продавнице.
Према истраживачима, злонамерна активност у вези са блокираним додацима траје од јануара 2019. године, али су појединачни домени који се користе за обављање злонамерних радњи регистровани још 2017. године.

Злонамерни додаци су углавном представљени као алати за промоцију производа и учешће у рекламним услугама (корисник гледа огласе и прима тантијеме). Додаци су користили технику преусмеравања на рекламиране сајтове приликом отварања страница, које су се приказивале у ланцу пре приказивања траженог сајта.

Сви додаци су користили исту технику да сакрију злонамерне активности и заобиђу механизме верификације додатака у Цхроме веб продавници. Код за све додатке је био скоро идентичан на изворном нивоу, са изузетком имена функција, која су била јединствена у сваком додатку. Злонамерна логика је пренета са централизованих контролних сервера. У почетку је додатак био повезан са доменом који је имао исто име као име додатка (на пример Мапстрек.цом), након чега је преусмерен на један од контролних сервера, који је обезбедио скрипту за даље радње.

Неке од радњи које се спроводе преко додатака укључују отпремање поверљивих корисничких података на екстерни сервер, прослеђивање на злонамерне сајтове и препуштање инсталацији злонамерних апликација (на пример, приказује се порука да је рачунар заражен и да се малвер нуди под под маском антивирусног програма или ажурирања претраживача). Домени на које су вршена преусмеравања обухватају различите пхисхинг домене и сајтове за искоришћавање неажурираних претраживача који садрже незакрпљене рањивости (на пример, након експлоатације, покушаји су инсталирања малвера који је пресрео приступне кључеве и анализирао пренос поверљивих података преко међуспремника).

Извор: опеннет.ру