2,3 miliona użytkowników zainfekowanych przez zweryfikowane rozszerzenia Chrome i Edge

Doszło do poważnego naruszenia bezpieczeństwa przeglądarek, które naraziło na działanie złośliwego oprogramowania ponad 2,3 miliona użytkowników. Wirus przenikał do systemów przez sprawdzone dodatki do Chrome i Edge, które wydawały się bezpieczne.

Według badań przeprowadzonych przez Koi Security, 18 rozszerzeń w kampanii nazwanej RedDirection potajemnie przejęło kontrolę nad przeglądarkami, śledziło działania użytkowników i umożliwiło dodatkowe ataki przez zaufane interfejsy.

Głównym dodatkiem odpowiedzialnym za naruszenie bezpieczeństwa był „Color Picker, Eyedropper – Geco colorpick”. Rozszerzenie spełniało swoją obiecaną funkcjonalność, dostarczając pełną funkcję wyboru kolorów. Działało jako narzędzie do wyboru kolorów, ale w tajemnicy śledziło wszystkie strony, które użytkownicy odwiedzali, przesyłało dane URL do serwerów kontroli i dowodzenia, a następnie przekierowywało użytkowników do fałszywych stron internetowych.

„To nie jest jakiś oczywisty dodatek-scam, zrobiony na kolanie w ciągu weekendu” – napisali badacze.

„To jest starannie skonstruowany trojański koń, który dostarcza dokładnie to, co obiecuje (funkcjonalny wybieracz kolorów), jednocześnie przejmując kontrolę nad twoją przeglądarką, śledząc każdą odwiedzaną stronę internetową i utrzymując stałe połączenie z komendą i kontrolą backdoor. Co więcej, przez lata pozostawał legalnym narzędziem, zanim stał się złośliwy przez aktualizację wersji” – zauważyli badacze.

Rzeczywiście, badacze wyjaśniają, jak te rozszerzenia były czyste przez lata, zanim złośliwy kod został dodany poprzez ciche aktualizacje wersji, co wykorzystało systemy zaufania Google i Microsoft, w tym odznaki weryfikacyjne i wyróżnione miejsca.

„To nie jest po prostu kolejne odkrycie malware,” powiedzieli badacze. „To dowód na to, że obecny model zabezpieczeń na rynku jest fundamentalnie uszkodzony”, dodał zespół badawczy.

Kampania RedDirection zawierała popularne rozszerzenia, które działały jako klawiatury emoji, kontrolery prędkości filmów, proxy VPN i ciemne motywy, które wyglądały i działały jak standardowe narzędzia. Rozszerzenia działały jako pojedyncza sieć poprzez swoje identyczne struktury malware i serwery poleceń, aby kraść dane logowania, informacje bankowe i instalować dodatkowe malware.

Firma Koi Security radzi użytkownikom, aby eliminowali niezaufane rozszerzenia podczas czyszczenia danych przeglądarki, skanowania w poszukiwaniu złośliwego oprogramowania i monitorowania konta. Odkrycie budzi wątpliwości co do procesu weryfikacji rozszerzeń w Chrome i Edge, oraz zdolności użytkowników do zaufania zainstalowanym rozszerzeniom.

„To katastrofa w łańcuchu dostaw,” ostrzegli badacze.