119 Edge prometían herramientas útiles, pero en realidad descargaban malware

Microsoft ha eliminado de la tienda Edge 119 extensiones, todas ellas relacionadas con una misma campaña de adware.

En un artículo titulado«Inside StegoAd: How We Disrupted a Massive Malicious Extension Campaign»(Dentro de StegoAd: cómo desarticulamos una campaña masiva de extensiones maliciosas), los investigadores de Microsoft detallan cómo descubrieron y desmantelaron una sofisticada campaña de malware que se valía de extensiones de navegador para infectar a los usuarios. Según Microsoft, la campaña incluía 119 extensiones de navegador maliciosas que fueron descargadas por 2,6 millones de usuarios.

Todas las extensiones prometían —y ofrecían— algún tipo de funcionalidad básica: bloqueadores de anuncios, VPN, traductores, descargadores de vídeos, calculadoras, extensiones de cupones, etcétera. Pero al cabo de un tiempo resultaron ser«programas ocultos»y comenzaron a descargar en secreto malware adicional.

Entre la carga útil se encontraba malware relacionado con el fraude publicitario, pero también extensiones que ejecutaban código JavaScript arbitrario enviado desde el servidor, el cual robaba credenciales de Google y códigos de autenticación de dos factores al iniciar sesión, recopilaba datos de acceso a la administración de WordPress y extraía cookies de forma masiva para secuestrar sesiones.

El nombre de la campaña, «StegoAd», proviene de las palabras «publicidad» y «esteganografía», que hace referencia a las técnicas para ocultar secretos en algo que, a primera vista, no despierta sospechas. En este caso, se trata de ocultar código en imágenes.

Y los ciberdelincuentes no solo intentaron pasar desapercibidos esperando un tiempo y ocultando código malicioso dentro de imágenes, sino que también dejaron en paz a algunas víctimas. Algunas de las extensiones solo se volvían maliciosas en aproximadamente el 10 % de las instalaciones, lo que de hecho ejecutaba la siguiente fase del malware, mientras que el otro ~90 % quedaba intacto (al menos en ese intento de ejecución). Además, en algunos casos, reutilizaban nombres de extensiones legítimas muy conocidas para generar un mayor nivel de confianza.

Las extensiones del navegador son una fuente de riqueza para los ciberdelincuentes, ya que equivalen a instalar un pequeño programa que se aloja en el navegador y que puede ver y registrar todo lo que haces en Internet.

Ahora mismo puedo imaginar que algunos de vosotros estáis pensando: «Yo no uso Edge». O «Solo lo he usado una vez, para descargar e instalar mi navegador favorito». Pero, aunque Microsoft descubrió y analizó la campaña, las técnicas utilizadas en ella son aplicables a los navegadores basados en Chromium en general.

Esta campaña no se centró tanto en aprovechar una vulnerabilidad del navegador como en engañar a los usuarios para que instalaran una extensión que parecía fiable, para luego utilizar sofisticadas técnicas de ocultación con el fin de evitar ser detectados el tiempo suficiente como para comprometer los sistemas.

Cómo mantenerse seguro

Ten siempre cuidado al descargar extensiones, incluso de tiendas de aplicaciones de confianza. Como ya hemos visto en numerosas ocasiones, los delincuentes consiguen que sus aplicaciones o extensiones aparezcan en las listas cuando solo les falta una actualización para convertirse en malware. Por lo tanto, asegúrate de que confías en el desarrollador y no te fíes únicamente de las reseñas.

Utiliza una solución de seguridad actualizada y en tiempo real para detectar y eliminar las extensiones maliciosas de tu dispositivo, así como para bloquear las conexiones a dominios y direcciones IP maliciosos. Elimina del navegador las extensiones maliciosas conocidas. A continuación se muestra una lista alfabética de las extensiones maliciosas que los investigadores han identificado por su nombre.

Ten en cuenta que puede haber más de una extensión con el mismo nombre. Si tienes dudas sobre si la extensión que has instalado se encuentra entre ellas, comprueba si el ID coincide con el que aparece en la lista. Si prefieres buscarlas por ID, las encontrarás organizadas de forma diferente en el informe de Microsoft (páginas 40-43).

No nos limitamos a informar de las amenazas: las eliminamos

Los riesgos de ciberseguridad nunca deben propagarse más allá de un titular. Mantenga las amenazas alejadas de sus dispositivos descargando Malwarebytes hoy mismo.