Företaget Awake Security om identifiering till Google Chrome som skickar anvÀndarens konfidentiella uppgifter till externa servrar. Bland annat hade tillÀggen tillgÄng till att skapa skÀrmdumpar, lÀsa innehÄllet i urklipp, analysera förekomsten av Ätkomsttoken i cookies och fÄnga inmatningar i webbformulÀr. Totalt identifierades skadliga tillÀgg med 32,9 miljoner nedladdningar i Chrome Web Store, och det mest populÀra (Search Manager) laddades ner 10 miljoner gÄnger och har 22 000 recensioner.
Det antas att alla granskade tillÀgg Àr förberedda av samma lag av illvilliga aktörer, eftersom i alla finns en typisk schem för spridning och organisering av konfidentiell datainhÀmtning, samt gemensamma designelement och Äterkommande kod. med skadlig kod har publicerats i Chrome Store och har redan tagits bort efter att en anmÀlan om skadlig aktivitet skickades. MÄnga skadliga tillÀgg kopierade funktionaliteten hos olika populÀra tillÀgg, inklusive dem som syftade till att ge extra skydd för webblÀsaren, öka sekretessen vid sökningar, konvertera PDF och omvandla format.
Utvecklarna av tillĂ€gg lade först upp en ren version utan skadlig kod i Chrome Store, gick igenom granskning, och sedan i en av uppdateringarna lade till förĂ€ndringar som laddade ner skadlig kod efter installation. För att dölja spĂ„ren av skadlig aktivitet anvĂ€ndes ocksĂ„ tekniken för selektiva svar â vid första förfrĂ„gan gavs en skadlig nedladdning, medan Ă„terstĂ„ende förfrĂ„gningar gav oskyldiga data.
De frÀmsta sÀtten som skadliga tillÀgg sprids Àr genom att marknadsföra professionellt utseende webbplatser (som pÄ bilden nedan) och placering i Chrome Web Store, vilket kringgÄr kontrollmekanismen för att hÀmta kod frÄn externa webbplatser. För att kringgÄ begrÀnsningarna för att installera tillÀgg endast frÄn Chrome Web Store, spred angriparna sÀrskilda versioner av Chromium med förinstallerade tillÀgg, och installationen genomfördes Àven via redan installerade reklamprogram (Adware) i systemet. Forskare analyserade 100 nÀtverk inom finansiella, medie, medicinska, farmaceutiska, olje- och gasföretag samt utbildnings- och statliga institutioner, och nÀstan alla visade tecken pÄ nÀrvaron av de aktuella skadliga tillÀggen.
Under kampanjen för spridning av skadliga tillÀgg registrerades över , som överlappar med populÀra webbplatser (t.ex. gmaille.com, youtubeunblocked.net osv.) eller registrerades efter att de tidigare existerande domÀnerna gÄtt ut. Dessa domÀner anvÀndes ocksÄ i infrastruktur för att hantera skadlig verksamhet och för att ladda ner skadliga JavaScript-injektioner som kördes i kontexten av sidor öppnade av anvÀndaren.
Forskare misstÀnkte en samverkan med domÀnregistratorn Galcomm, hos vilken 15 000 domÀner registrerades för skadliga ÄtgÀrder (60% av alla domÀner utfÀrdade av denna registrator), men representanter för Galcomm denna misstanke och angav att 25% av de nÀmnda domÀnerna redan har tagits bort eller utfÀrdats av nÄgon annan Àn Galcomm, medan nÀstan alla andra Àr inaktiva parkerade domÀner. Representanter för Galcomm rapporterade ocksÄ att ingen hade kontaktat dem före offentliggörandet av rapporten, och att de fÄtt listan över domÀner som anvÀnds för skadliga syften frÄn en tredje part och nu genomför sin egen analys.
Forskare som har identifierat problemet jĂ€mför skadliga tillĂ€gg med en ny rootkit â mĂ„nga anvĂ€ndares huvudsakliga verksamhet sker via webblĂ€saren, genom vilken de fĂ„r Ă„tkomst till gemensamma dokumentlagringsutrymmen, företags informationssystem och finanstjĂ€nster. I sĂ„dana situationer Ă€r det inte meningsfullt för angriparna att leta efter sĂ€tt att helt kompromettera operativsystemet för att installera en fullstĂ€ndig rootkit â det Ă€r mycket enklare att fĂ„ ett skadligt webblĂ€sartillĂ€gg installerat och kontrollera flödena av konfidentiell information genom det. Utöver att kontrollera transitdata kan tillĂ€gget begĂ€ra befogenheter för att fĂ„ Ă„tkomst till lokala data, webbkamera och plats. Som praktiken visar, lĂ€gger de flesta anvĂ€ndare inte mĂ€rke till de begĂ€rda behörigheterna, och 80 % av 1000 populĂ€ra tillĂ€gg begĂ€r Ă„tkomst till data pĂ„ alla behandlade sidor.
KĂ€lla: opennet.ru
