119 Edge beloofden handige tools, maar in plaats daarvan werd er malware gedownload

Microsoft heeft 119 extensies uit de Edge verwijderd die allemaal verband hielden met één adwarecampagne.

In een artikel met de titel„Inside StegoAd: How We Disrupted a Massive Malicious extensie “ beschrijven onderzoekers van Microsoft hoe zij een geavanceerde malwarecampagne hebben ontdekt en ontmanteld, waarbij misbruik werd gemaakt van browserextensies om gebruikers te infecteren. Volgens Microsoft omvatte de campagne 119 schadelijke browserextensies die door 2,6 miljoen gebruikers werden gedownload.

De extensies beloofden allemaal een of andere basisfunctie – en maakten die belofte ook waar: advertentieblokkers, VPN’s, vertaaltools, videodownloaders, rekenmachines, kortingsbonnen-extensies, enzovoort. Maar na een tijdje bleken het‘sleepers’te zijn die stiekem extra malware gingen downloaden.

De payload bevatte onder meer malware die werd gebruikt voor advertentiefraude, maar ook extensies die willekeurige JavaScript-code uitvoerden die vanaf de server werd doorgestuurd. Deze code stal Google-inloggegevens en codes voor tweefactorauthenticatie bij het inloggen, verzamelde WordPress-beheerdersgegevens en haalde cookies in grote hoeveelheden weg voor sessiekaping.

De naam van de campagne, „StegoAd”, is afgeleid van de woorden „advertising” en „steganografie”, wat verwijst naar technieken om geheimen te verbergen in iets dat niet meteen argwaan wekt. In dit geval gaat het om het verbergen van code in afbeeldingen.

En niet alleen probeerden de cybercriminelen onder de radar te blijven door een tijdje af te wachten en schadelijke code in afbeeldingen te verbergen, ze lieten ook sommige slachtoffers met rust. Sommige extensies gedroegen zich slechts bij ongeveer 10% van de installaties als schadelijk, waarbij de volgende fase van de malware daadwerkelijk werd uitgevoerd, terwijl de overige ~90% met rust werd gelaten (althans voor die uitvoeringspoging). Bovendien hergebruikten ze in sommige gevallen de namen van bekende, legitieme extensies om extra vertrouwen te wekken.

Browser-extensies zijn een goudmijn voor cybercriminelen, omdat het in feite neerkomt op het installeren van een klein programmaatje dat in je browser wordt ingebouwd en dat alles wat je op internet doet kan volgen en rapporteren.

Ik hoor sommigen van jullie nu al denken: ik gebruik Edge niet. Of: ik heb het maar één keer gebruikt, om mijn favoriete browser te downloaden en te installeren. Maar hoewel Microsoft de campagne heeft ontdekt en geanalyseerd, zijn de technieken die in deze campagne worden gebruikt, van toepassing op alle op Chromium gebaseerde browsers.

Bij deze campagne ging het niet zozeer om het misbruiken van een kwetsbaarheid in de browser, maar veeleer om het misleiden van gebruikers zodat ze een op het eerste gezicht betrouwbaar ogende extensie zouden installeren, waarna geavanceerde verhullingstechnieken werden ingezet om lang genoeg aan detectie te ontkomen en zo systemen te compromitteren.

Hoe blijf ik veilig

Wees altijd voorzichtig bij het downloaden van extensies, zelfs uit de gerenommeerde app-winkels. Zoals we al vaker hebben gezien, slagen criminelen erin hun apps of extensies in de lijst te krijgen, terwijl ze nog maar één update verwijderd zijn van het moment dat ze in malware veranderen. Zorg er dus voor dat je de ontwikkelaar vertrouwt en vertrouw niet alleen op beoordelingen.

Gebruik een up-to-date realtime beveiligingsoplossing om schadelijke extensies op uw apparaat op te sporen en te verwijderen, en om verbindingen met schadelijke domeinen en IP-adressen te blokkeren. Verwijder de bekende schadelijke extensies uit uw browser. Hieronder vindt u een alfabetische lijst met de namen van de schadelijke extensies die de onderzoekers hebben aangetroffen.

Houd er rekening mee dat er mogelijk meer dan één extensie is extensie dezelfde naam. Als je twijfelt of de extensie hebt geïnstalleerd hier ook bij hoort, controleer dan of de ID overeenkomt met die in de lijst. Als je ze liever op ID opzoekt, kun je ze op een andere manier gerangschikt vinden in het Microsoft-rapport (pagina’s 40-43).

We rapporteren niet alleen over bedreigingen - we verwijderen ze ook

Cyberbeveiligingsrisico's mogen zich nooit verder verspreiden dan een krantenkop. Houd bedreigingen van uw apparaten door Malwarebytes vandaag nog te downloaden.