119 Edge prometiam ferramentas úteis, mas, em vez disso, descarregavam malware

A Microsoft removeu 119 extensões da loja Edge , todas elas associadas a uma campanha de adware.

Num artigo intitulado«Inside StegoAd: How We Disrupted a Massive Malicious Extension Campaign»(Por dentro do StegoAd: como desmantelámos umacampanha massiva de extensões maliciosas), os investigadores da Microsoft explicam em pormenor como descobriram e desmantelaram uma campanha sofisticada de malware que se valia de extensões de navegador para infetar os utilizadores. Segundo a Microsoft, a campanha envolveu 119 extensões de navegador maliciosas, que foram descarregadas por 2,6 milhões de utilizadores.

Todas as extensões prometiam — e cumpriam — algum tipo de funcionalidade básica: bloqueadores de anúncios, VPNs, tradutores, programas para descarregar vídeos, calculadoras, extensões de cupões e assim por diante. Mas, passado algum tempo, revelaram-se«agentes adormecidos»e começaram secretamente a descarregar malware adicional.

Entre a carga útil encontravam-se programas maliciosos envolvidos em fraude publicitária, mas também extensões que executavam código JavaScript arbitrário enviado a partir do servidor, que roubavam credenciais do Google e códigos de autenticação de dois fatores no momento do início de sessão, recolhiam dados de início de sessão de administradores do WordPress e extraíam cookies em massa para o sequestro de sessões.

O nome da campanha «StegoAd» deriva das palavras «publicidade» e «esteganografia», que se refere às técnicas de ocultar segredos em algo que não suscita suspeitas de imediato. Neste caso, trata-se de ocultar código em imagens.

E os cibercriminosos não só tentaram passar despercebidos, esperando algum tempo e ocultando código malicioso dentro de imagens, como também deixaram algumas vítimas em paz. Algumas das extensões só se tornavam maliciosas em cerca de 10% das instalações, o que levava à execução da fase seguinte do malware, enquanto as restantes ~90% eram ignoradas (pelo menos naquela tentativa de execução). Além disso, em alguns casos, reutilizavam nomes de extensões legítimas e bem conhecidas para criar um nível adicional de confiança.

As extensões do navegador são uma fonte de enriquecimento para os cibercriminosos, pois equivalem à instalação de um pequeno programa que fica alojado no seu navegador e que pode ver e registar tudo o que faz na Internet.

Agora, imagino que alguns de vocês estejam a pensar: «Eu não uso Edge.» Ou «Só o usei uma vez, para descarregar e instalar o meu navegador favorito.» Mas, embora a Microsoft tenha descoberto e analisado a campanha, as técnicas utilizadas nesta campanha são aplicáveis aos navegadores baseados no Chromium em geral.

Esta campanha não se centrou tanto em explorar uma vulnerabilidade do navegador, mas sim em induzir os utilizadores a instalar uma extensão com aparência fiável e, em seguida, utilizar técnicas sofisticadas de ocultação para evitar a deteção durante tempo suficiente para comprometer os sistemas.

Como se manter seguro

Tenha sempre cuidado ao descarregar extensões, mesmo nas lojas de aplicações de renome. Como já vimos várias vezes, os criminosos conseguem que as suas aplicações ou extensões sejam listadas quando estão a apenas uma atualização de se transformarem em malware. Por isso, certifique-se de que confia no programador e não se baseie apenas nas avaliações.

Utilize uma solução de segurança em tempo real atualizada para detetar e remover extensões maliciosas do seu dispositivo e bloquear ligações a domínios e endereços IP maliciosos. Remova as extensões maliciosas conhecidas do seu navegador. Segue-se uma lista, por ordem alfabética, das extensões maliciosas que os investigadores identificaram pelo nome.

Tenha em atenção que poderá haver mais do que uma extensão com o mesmo nome. Caso tenha dúvidas se a extensão que instalou se encontra entre elas, verifique se o ID corresponde ao indicado na lista. Se preferir procurá-las pelo ID, poderá encontrá-las organizadas de forma diferente no relatório da Microsoft (páginas 40-43).

Não nos limitamos a comunicar as ameaças - eliminamo-las

Os riscos de cibersegurança nunca se devem propagar para além de uma manchete. Mantenha as ameaças longe dos seus dispositivos descarregando Malwarebytes hoje mesmo.