O malware rouba Chrome Cookies de sessão para assumir o controlo das suas contas

Um anexo de e-mail leva à instalação de um programa malicioso. Chrome extensão. Os investigadores dizem que faz parte de uma Windows Backdoor distribuído através de um e-mail de phishing. O malware abusa de Chrome Mensagens nativas para transferir o controlo do browser para o sistema anfitrião. O seu truque mais notável não é o engodo de phishing em si, mas a forma como utiliza navegadores legítimos e Windows Funcionalidades para executar o PowerShell e recolher dados, mantendo-se dentro dos fluxos de trabalho esperados.

O ataque começa com um anexo de e-mail disfarçado de ficheiro PDF. O ficheiro utiliza uma extensão enganosa .pfd.js parece um documento PDF, mas, na realidade, é um ficheiro JavaScript ofuscado que coloca ficheiros adicionais na pasta temporária e dá início ao resto da cadeia de infeção.

Como parte desta cadeia, um script PowerShell prepara um Chrome extensão e alterações Chrome As definições de política permitem que a extensão seja instalada. O malware faz com que a instalação pareça ser uma implementação controlada pelo administrador, em vez de uma instalação normal de extensão.

Uma vez ativada, a extensão e a sua aplicação complementar nativa recolhem cookies do navegador, separadores abertos, URLs, definições de idioma e dados de identificação. Os operadores também utilizam a configuração como um canal de comando remoto, enviando instruções que podem iniciar o PowerShell e enumerar o conteúdo do C: conduzir.

Com os cookies de sessão autenticados roubados, os atacantes podem sequestrar sessões ativas do navegador, em vez de se limitarem a roubar palavras-passe, o que lhes é mais útil, uma vez que lhes permite aceder a contas já iniciadas no navegador da vítima, contornando a autenticação multifator (MFA).

O aspecto mais interessante do ataque é o abuso de Chrome Mensagens nativas como ponte entre o ambiente isolado do browser e o sistema operativo. Chrome A extensão permite que comunique com um host nativo registado, e os atacantes exploraram esta característica legítima para transformar a extensão num controlador para execução de código local. A extensão não inicia o PowerShell diretamente. Em vez disso, envia mensagens para o host nativo, que depois inicia o PowerShell ou interage com ele no sistema host.

Como se manter seguro

A primeira linha de defesa contra ataques deste tipo consiste em evitar abrir anexos de e-mail, a menos que seja possível verificar a identidade do remetente. Além disso:

• Verifique sempre a extensão real do ficheiro, em vez de se basear no nome do ficheiro apresentado.
• Utilize uma solução antimalware atualizada e em tempo real para detetar e bloquear atividades maliciosas.
• Verifique o instalado Chrome As extensões instaladas no seu dispositivo devem ser removidas, assim como quaisquer outras que já não reconheça ou já não utilize.
• Por uma questão de precaução adicional, saia das contas importantes quando terminar. Isso invalida a sua sessão, pelo que, mesmo que alguém tenha roubado o seu cookie de sessão, não poderá utilizá-lo para aceder à sua conta.
• Verifique regularmente o histórico de início de sessão das contas importantes. Muitos serviços online permitem-lhe ver quais os dispositivos que iniciaram sessão, quando e a partir de onde.

COIs

Anexo:

Fattura-2819889242.pfd.js (exibido como Fattura-26189991026.pdf)

Ficheiros maliciosos:

client_124578.exe
d3d11.dll

Chrome extensão:

Nome: Cloud vn105rkj64
ID: gghagmhimhgfeajfdmjkgmmehbokmglg

Domínio:

ext2[.]info

Isto é bloqueado pelo Malwarebytes Browser Guard , a nossa extensão gratuita para navegadores que bloqueia anúncios, rastreadores, malware e muito mais.

---

Desde a denúncia de ameaças até à sua remoção.

Os riscos de cibersegurança nunca devem ir além das manchetes. Mantenha as ameaças longe dos seus dispositivos , descarregando hoje mesmo Malwarebytes .