119 Edge rozszerzenia obiecywały przydatne narzędzia, zamiast tego pobierały złośliwe oprogramowanie

Firma Microsoft usunęła 119 rozszerzeń z Edge sklep z dodatkami, które były powiązane z jedną kampanią adware.

W artykule zatytułowanym„Inside StegoAd: How We Disrupted a Massive Malicious Extension Campaign” badacze z firmy Microsoft szczegółowo opisują, w jaki sposób wykryli i zlikwidowali wyrafinowaną kampanię złośliwego oprogramowania, która wykorzystywała rozszerzenia przeglądarek do infekowania użytkowników. Według firmy Microsoft w kampanii tej wykorzystano 119 złośliwych rozszerzeń przeglądarek, które pobrało 2,6 miliona użytkowników.

Wszystkie te rozszerzenia obiecywały – i faktycznie zapewniały – pewnego rodzaju podstawowe funkcje: blokowanie reklam, sieci VPN, tłumacze, narzędzia do pobierania filmów, kalkulatory, rozszerzenia z kuponami rabatowymi i tak dalej. Jednak po pewnym czasie okazało się, że były to„ukryte zagrożenia”i potajemnie zaczęły pobierać dodatkowe złośliwe oprogramowanie.

Wśród ładunku znajdowało się złośliwe oprogramowanie wykorzystywane do oszustw reklamowych, ale także rozszerzenia, które uruchamiały dowolny kod JavaScript przesyłany z serwera – kod ten kradł dane logowania do usług Google oraz kody dwuskładnikowego uwierzytelniania podczas logowania, zbierał dane logowania do panelu administracyjnego WordPressa oraz masowo wykradał pliki cookie w celu przejęcia sesji.

Nazwa kampanii „StegoAd” pochodzi od słów „reklama” i „steganografia”, czyli techniki ukrywania tajemnic w czymś, co na pierwszy rzut oka nie budzi podejrzeń. W tym przypadku chodzi o ukrywanie kodu w obrazach.

Cyberprzestępcy nie tylko starali się pozostać niezauważeni, czekając przez pewien czas i ukrywając złośliwy kod w obrazkach, ale także niektórych ofiar pozostawili w spokoju. Niektóre z tych rozszerzeń stawały się złośliwe tylko w około 10% instalacji, co faktycznie uruchamiało kolejny etap działania złośliwego oprogramowania, podczas gdy pozostałe ~90% pozostawało nienaruszonych (przynajmniej w przypadku tej próby uruchomienia). W niektórych przypadkach cyberprzestępcy ponownie wykorzystywali nazwy dobrze znanych, legalnych rozszerzeń, aby wzbudzić dodatkowe zaufanie.

Rozszerzenia przeglądarek stanowią źródło bogactwa dla cyberprzestępców, ponieważ ich instalacja przypomina zainstalowanie niewielkiego programu działającego w przeglądarce, który może śledzić i raportować wszystkie działania użytkownika w Internecie.

Teraz słyszę, jak niektórzy z was myślą: Nie używam Edge . Albo użyłem jej tylko raz, żeby pobrać i zainstalować moją ulubioną przeglądarkę. Ale chociaż Microsoft odkrył i przeanalizował tę kampanię, techniki zastosowane w tej kampanii mają zastosowanie do przeglądarek opartych na Chromium w ogóle.

W tej kampanii nie chodziło tyle o wykorzystanie luki w zabezpieczeniach przeglądarki, co o nakłonienie użytkowników do zainstalowania rozszerzenia wyglądającego na godne zaufania, a następnie zastosowanie zaawansowanych technik maskowania, aby uniknąć wykrycia na tyle długo, by przejąć kontrolę nad systemami.

Jak zachować bezpieczeństwo

Zawsze zachowuj ostrożność podczas pobierania rozszerzeń, nawet z renomowanych sklepów z aplikacjami. Jak wielokrotnie mieliśmy okazję zaobserwować, przestępcom udaje się umieścić swoje aplikacje lub rozszerzenia w ofercie, mimo że wystarczy jedna aktualizacja, by zamieniły się one w złośliwe oprogramowanie. Dlatego upewnij się, że deweloper jest godny zaufania, i nie polegaj wyłącznie na recenzjach.

Korzystaj z aktualnego rozwiązania zabezpieczającego działającego w czasie rzeczywistym, aby wykrywać i usuwać złośliwe rozszerzenia z urządzenia oraz blokować połączenia ze złośliwymi domenami i adresami IP. Usuń znane złośliwe rozszerzenia z przeglądarki. Poniżej znajduje się alfabetyczna lista złośliwych rozszerzeń, które naukowcy zidentyfikowali według nazw.

Należy pamiętać, że może istnieć więcej niż jedno rozszerzenie o tej samej nazwie. Jeśli nie masz pewności, czy zainstalowane przez Ciebie rozszerzenie znajduje się wśród nich, sprawdź, czy jego identyfikator (ID) zgadza się z tym podanym na liście. Jeśli wolisz wyszukiwać rozszerzenia na podstawie identyfikatora, znajdziesz je uporządkowane w inny sposób w raporcie firmy Microsoft (strony 40–43).

Od zgłaszania zagrożeń po ich usuwanie.

Zagrożenia cyberbezpieczeństwa nigdy nie powinny wykraczać poza nagłówki. Chroń swoje urządzenia przed zagrożeniami, pobierając Malwarebytes już dziś .