119 Edge promettevano strumenti utili, ma al loro posto è stato scaricato del malware

Microsoft ha rimosso dallo store Edge 119 estensioni, tutte collegate a un'unica campagna di adware.

In un articolo intitolato“Inside StegoAd: How We Disrupted a Massive Malicious Extension Campaign”(All’interno di StegoAd: come abbiamo sventatouna massiccia campagna diestensioni dannose), i ricercatori di Microsoft descrivono in dettaglio come hanno scoperto e smantellato una sofisticata campagna di malware che sfruttava le estensioni del browser per infettare gli utenti. Secondo Microsoft, la campagna ha coinvolto 119 estensioni dannose per il browser, scaricate da 2,6 milioni di utenti.

Tutte queste estensioni promettevano, e offrivano effettivamente, una qualche funzionalità di base: blocca-pubblicità, VPN, traduttori, programmi per scaricare video, calcolatrici, estensioni per buoni sconto e così via. Ma dopo un po’ si sono rivelatedelle “trappole”e hanno iniziato segretamente a scaricare malware aggiuntivo.

Tra i payload figuravano malware coinvolti in frodi pubblicitarie, ma anche estensioni che eseguivano codice JavaScript arbitrario inviato dal server, il quale rubava le credenziali di Google e i codici di autenticazione a due fattori al momento dell'accesso, raccoglieva le credenziali di accesso all'amministrazione di WordPress ed esfiltrava i cookie in blocco per il dirottamento delle sessioni.

Il nome della campagna “StegoAd” deriva dalle parole “advertising” (pubblicità) e “steganografia”, che indica le tecniche utilizzate per nascondere informazioni segrete in qualcosa che non desti immediatamente sospetti. In questo caso, si tratta di nascondere codice all’interno di immagini.

E non solo i criminali informatici hanno cercato di passare inosservati aspettando un po’ di tempo e nascondendo il codice dannoso all’interno delle immagini, ma hanno anche lasciato in pace alcune vittime. Alcune delle estensioni si sono rivelate dannose solo nel 10% circa delle installazioni, dando così il via alla fase successiva del malware, mentre il restante 90% circa veniva lasciato in pace (almeno per quel tentativo di esecuzione). Inoltre, in alcuni casi, hanno riutilizzato i nomi di estensioni legittime ben note per infondere un ulteriore livello di fiducia.

Le estensioni del browser sono una fonte di guadagno per i criminali informatici, poiché equivalgono all’installazione di un piccolo programma che risiede all’interno del browser e che è in grado di monitorare e segnalare tutto ciò che fai su Internet.

Ora immagino che alcuni di voi stiano pensando: “Io non uso Edge”. Oppure: “L’ho usato solo una volta, per download installare il mio browser preferito”. Ma sebbene Microsoft abbia individuato e analizzato questa campagna, le tecniche utilizzate sono applicabili ai browser basati su Chromium in generale.

Questa campagna non mirava tanto a sfruttare una vulnerabilità del browser, quanto piuttosto a indurre gli utenti a installare un'estensione dall'aspetto affidabile, per poi utilizzare sofisticate tecniche di occultamento al fine di eludere il rilevamento abbastanza a lungo da compromettere i sistemi.

Come stare al sicuro

Presta sempre attenzione quando scarichi estensioni, anche dagli app store più affidabili. Come abbiamo già visto molte volte in passato, i criminali riescono a far pubblicare le loro app o estensioni quando basta un solo aggiornamento perché si trasformino in malware. Assicurati quindi di fidarti dello sviluppatore e non basarti solo sulle recensioni.

Utilizza una soluzione di sicurezza in tempo reale aggiornata per individuare e rimuovere le estensioni dannose dal tuo dispositivo e bloccare le connessioni a domini e indirizzi IP dannosi. Rimuovi dal tuo browser le estensioni dannose note. Di seguito è riportato un elenco in ordine alfabetico delle estensioni dannose individuate dai ricercatori, con i relativi nomi.

Si prega di notare che potrebbero esserci più estensioni con lo stesso nome. Se non si è sicuri che l'estensione installata figuri tra queste, verificare che l'ID corrisponda a quello indicato nell'elenco. Se si preferisce effettuare la ricerca in base all'ID, è possibile trovarle organizzate in modo diverso nel rapporto Microsoft (pagine 40-43).

Non ci limitiamo a segnalare le minacce, ma le eliminiamo.

I rischi per la sicurezza informatica non dovrebbero mai diffondersi al di là di un titolo di giornale. Tenete le minacce lontane dai vostri dispositivi scaricando Malwarebytes oggi stesso.