Dezenas de Extensões do Chrome Hackeadas, Expondo Milhões de Usuários ao Roubo de Dados

ZNX Postagens

Uma nova campanha de ataque teve como alvo extensões conhecidas do navegador Chrome, levando a pelo menos 35 extensões comprometidas e expondo mais de 2,6 milhões de usuários à exposição de dados e roubo de credenciais.

O ataque teve como alvo editores de extensões de navegador na Chrome Web Store por meio de uma campanha de phishing e usou suas permissões de acesso para inserir códigos maliciosos em extensões legítimas para roubar cookies e tokens de acesso de usuários.

A primeira empresa a lançar luz sobre a campanha foi a empresa de segurança cibernética Cyberhaven, um dos quais foi alvo de um ataque de phishing em 24 de dezembro, permitindo que os agentes de ameaças publicassem uma versão maliciosa da extensão.

Em 27 de dezembro, Cyberhaven divulgado que um agente de ameaças comprometeu sua extensão de navegador e injetou código malicioso para se comunicar com um servidor externo de comando e controle (C&C) localizado no domínio cyberhavenext[.]pro, baixe arquivos de configuração adicionais e exfiltre dados do usuário.

O e-mail de phishing, que supostamente vinha do Google Chrome Web Store Developer Support, procurou induzir um falso senso de urgência, alegando que sua extensão estava em risco iminente de remoção da loja de extensão citando uma violação de Políticas do Programa de Desenvolvedor.

Ele também pediu ao destinatário que clicasse em um link para aceitar as políticas, após o que elas foram redirecionadas para uma página para conceder permissões a um aplicativo malicioso do OAuth chamado “Privacy Policy Extension.”

“O invasor obteve as permissões necessárias por meio do aplicativo malicioso (‘Privacy Policy Extension’) e carregou uma extensão maliciosa do Chrome para a Chrome Web Store” Cyberhaven disse em uma redação técnica separada. “Após o processo de revisão habitual do Chrome Web Store Security, a extensão maliciosa foi aprovada para publicação.”

“As extensões do navegador são o ponto fraco da segurança da web”, diz Or Eshed, CEO da Segurança LayerX, que é especializada em segurança de extensão do navegador. “Embora tendamos a pensar em extensões de navegador como inofensivas, na prática, elas frequentemente recebem permissões extensivas para informações confidenciais do usuário, como cookies, tokens de acesso, informações de identidade e muito mais.

“Muitas organizações nem sabem quais extensões instalaram em seus endpoints e não estão cientes da extensão de sua exposição.”

Jamie Blasco, CTO da empresa de segurança SaaS Nudge Security domínios adicionais identificados resolvendo para o mesmo endereço IP do servidor C&C usado para a violação do Cyberhaven.

Mais investigações descobriram mais extensões [Folhas do Google] que são suspeitas de terem sido comprometidas, de acordo com plataformas de segurança de extensão de navegador Anexo Seguro e Extensão total:

  • AI Assistant – ChatGPT e Gemini para Chrome
  • Extensão Bard AI Chat
  • Resumo do GPT 4 com OpenAI
  • Pesquisar Copilot AI Assistant para Chrome
  • Assistente TinaMind AI
  • Wayin AI
  • VPNCidade
  • VPN Internxt
  • Gravador Vídeo Vidnoz Flex
  • VidHelper Video Downloader
  • Favorito Favicon Changer
  • Castorus
  • Uvoice
  • Modo Leitor
  • Palhaço Conversas
  • Primus
  • Tackker – ferramenta de keylogger online
  • Amigo da Loja AI
  • Ordenar por Oldest
  • Automator de Pesquisa de Recompensas
  • ChatGPT Assistant – Pesquisa Inteligente
  • Gravador Histórico Teclado
  • E-mail Hunter
  • Efeitos visuais para o Google Meet
  • Earny – Até 20% de Cash Back
  • Onde está o Cookie?
  • Espelho Web
  • App ChatGPT
  • Olá AI
  • Gerenciador Web3Password
  • Assistente YesCaptcha
  • Favorito Favicon Changer
  • Proxy SwitchyOmega (V3)
  • Inspetor de Rede GraphQL
  • ChatGPT para Google Meet
  • Resumo do GPT 4 com OpenAI

Essas extensões comprometidas adicionais indicam que o Cyberhaven não era um alvo único, mas parte de uma campanha de ataque em larga escala visando extensões legítimas do navegador.

O fundador da Secure Annex, John Tuckner, disse ao The Hacker News que há uma possibilidade de que a campanha esteja em andamento desde 5 de abril de 2023, e provavelmente ainda mais para trás com base nas datas de registro dos domínios usados: nagofsg[.]com foi registrado em agosto de 2022 e sclpfybn[.]com foi registrado em julho de 2021.

“Eu liguei o mesmo código presente nos ataques Cyberhaven ao código relacionado (digamos, Code1) em uma extensão chamada ‘Reader Mode'”, disse Tuckner. “O código no ‘Modo do Leitor’ continha o código de ataque Cyberhaven (Code1) e um indicador adicional de compromisso “sclpfybn[.]com” com seu próprio código adicional (Code2).”

“Pivotar nesse domínio me levou às sete novas extensões. Uma dessas extensões relacionadas chamadas “Rewards Search Automator” tinha (Code2) que se mascarava como funcionalidade de ‘navegação segura’, mas estava exfiltrando dados.”

“‘Rewards Search Automator’ também continha a funcionalidade ‘ecommerce’ mascarada (Code3) com um novo domínio ‘tnagofsg[.]com’ que é funcionalmente incrivelmente semelhante ao ‘safe-browsing’. Pesquisando mais sobre este domínio, encontrei ‘Earny – Até 20% Cash Back’ que ainda tem código ‘ecommerce’ nele (Code3) e foi atualizado pela última vez em 5 de abril de 2023.”

Quanto ao add-on Cyberhaven comprometido, a análise indica que o código malicioso direcionou dados de identidade e tokens de acesso de contas do Facebook, principalmente com a intenção de destacar os usuários do Facebook Ads.

Ele também incluiu código para ouvir eventos de clique do mouse no site do Facebook[.]com, verificando imagens contendo a substring “qr/show/code” no atributo src toda vez que um usuário clica em uma página e, se encontrado, enviando-os para o servidor C&C. Suspeita-se que a intenção era procurar códigos QR para ignorar verificações de segurança, como solicitações de autenticação de dois fatores (2FA).

Cyberhaven diz que a versão maliciosa da extensão do navegador foi removida cerca de 24 horas depois de ter sido lançada. Algumas das outras extensões expostas também já foram atualizadas ou removidas da Chrome Web Store.

No entanto, o fato de a extensão ter sido removida da loja do Chrome não significa que a exposição acabou, diz Or Eshed. “Enquanto a versão comprometida da extensão ainda estiver ativa no endpoint, os hackers ainda podem acessá-la e extrair dados”, diz ele.

Desde então, também surgiu que a presença de código de coleta de dados em algumas das extensões não foi o resultado de um compromisso, mas provavelmente foi incluído pelos próprios desenvolvedores como parte de um kit de desenvolvimento de software de monetização (SDK) que também filtrou furtivamente dados de navegação detalhados.

“Antes que o desenvolvedor do Visual Effects for Google Meet vendesse sua extensão para o Karma, eles tentaram monetizá-la com essa ‘biblioteca de bloqueio de anúncios'”, disse o pesquisador de segurança Wladimir Palant disse. “O discurso de vendas não menciona quem desenvolve a biblioteca, mas tudo aponta para o Urban VPN.”

Neste ponto, não está claro quem está por trás da campanha e se esses compromissos estão relacionados. O Hacker News entrou em contato com o Google para mais comentários, e vamos atualizar a história se ouvirmos de volta.

Fonte: https://thehackernews.com/