Τρεις κακόβουλες επεκτάσεις του Chrome, που παρουσιάζονται ως VPN, έχουν γίνει λήψη 1,5 εκατομμύριο φορές και λειτουργούν ως browser hijackers, cashback hack tools και data stealers.
Σύμφωνα με τη ReasonLabs, οι κακόβουλες επεκτάσεις διαδίδονται μέσω ενός προγράμματος εγκατάστασης που είναι κρυμμένο σε πειρατικά αντίγραφα δημοφιλών βιντεοπαιχνιδιών όπως το Grand Theft Auto, το Assassins Creed και το The Sims 4. Αυτά διανέμονται μέσω torrent sites.
Η ReasonLabs ενημέρωσε την Google για τις κακόβουλες επεκτάσεις. Η εταιρεία έσπευσε να τις αφαιρέσει από το Chrome Web Store, αλλά είχαν ήδη 1,5 εκατομμύριο λήψεις.
Συγκεκριμένα, οι κακόβουλες επεκτάσεις ήταν οι netPlus (1 εκατομμύριο εγκαταστάσεις), netSave και netWin (500.000 εγκαταστάσεις).
Οι περισσότερες μολύνσεις εντοπίζονται στη Ρωσία, την Ουκρανία, το Καζακστάν και τη Λευκορωσία. Η καμπάνια φαίνεται να στοχεύει κυρίως ρωσόφωνους χρήστες.
Δείτε επίσης: JaskaGO: Ένα νέο malware που στοχεύει Windows και MacOS
Chrome: Ψεύτικες επεκτάσεις VPN
Η ReasonLabs ανακάλυψε πάνω από χίλια διαφορετικά αρχεία torrent που παρέχουν το κακόβουλο installer file, το οποίο είναι ένα electron app με μέγεθος μεταξύ 60 MB και 100 MB.
Η εγκατάσταση των ψεύτικων επεκτάσεων VPN είναι αυτόματη και αναγκαστική, πραγματοποιείται σε registry level και δεν απαιτεί καμία ενέργεια από την πλευρά του θύματος.
Το πρόγραμμα εγκατάστασης ελέγχει για την ύπαρξη προϊόντων προστασίας από ιούς στο μολυσμένο μηχάνημα και, στη συνέχεια, εγκαθιστά το netSave στο Google Chrome και το netPlus στον Microsoft Edge.
Οι κακόβουλες επεκτάσεις Chrome χρησιμοποιούν μια ρεαλιστική διεπαφή χρήστη VPN. Επίσης, υπάρχουν κάποιες βασικές λειτουργίες και μια επιλογή συνδρομής για να δημιουργήσουν μια αίσθηση αυθεντικότητας.
Η ανάλυση κώδικα δείχνει ότι η επέκταση έχει επίσης πρόσβαση σε “tabs”, “storage”, “proxy”, “webRequest”, “webRequestBlocking”, “declarativeNetRequest”, “scripting”, “alarms”, “cookies”, “activeTab,” “management” και “offscreen”.
Δείτε επίσης: Windows 11: Η Microsoft επιβεβαιώνει προβλήματα Wi-Fi
Η η κατάχρηση της άδειας “offscreen” επιτρέπει στο κακόβουλο λογισμικό να εκτελεί scripts μέσω του Offscreen API και να αλληλεπιδρά κρυφά με το τρέχον DOM (Document Object Model) της ιστοσελίδας.
Αυτή η εκτεταμένη πρόσβαση στο DOM επιτρέπει στις επεκτάσεις Chrome να κλέβουν ευαίσθητα δεδομένα χρήστη, να χειρίζονται αιτήματα ιστού, να απενεργοποιούν άλλες επεκτάσεις και άλλα.
Σύμφωνα με τη ReasonLabs, το κακόβουλο λογισμικό στοχεύει πάνω από 100 επεκτάσεις cashback, συμπεριλαμβανομένων των Avast SafePrice, AVG SafePrice, Honey: Automatic Coupons & Rewards, LetyShops, Megabonus, AliRadar Shopping Assistant, Yandex.Market Adviser, ChinaHelper και Backlit.
Κίνδυνοι των κακόβουλων επεκτάσεων
Οι κακόβουλες επεκτάσεις Chrome μπορούν να επηρεάσουν την ιδιωτικότητα και την ασφάλεια του χρήστη με διάφορους τρόπους. Πρώτον, μπορούν να συλλέγουν προσωπικά δεδομένα χωρίς την άδεια του χρήστη. Αυτό μπορεί να περιλαμβάνει πληροφορίες όπως η διεύθυνση IP, η τοποθεσία, τα στοιχεία σύνδεσης, τα ιστορικά περιήγησης και άλλα ευαίσθητα δεδομένα.
Δεύτερον, οι κακόβουλες επεκτάσεις μπορούν να αλλάξουν τις ρυθμίσεις του προγράμματος περιήγησης χωρίς την άδεια του χρήστη. Αυτό μπορεί να περιλαμβάνει την αλλαγή της αρχικής σελίδας, την αλλαγή της μηχανής αναζήτησης, την προσθήκη ανεπιθύμητων διαφημίσεων ή την ανακατεύθυνση σε κακόβουλες ιστοσελίδες.
Δείτε επίσης: Microsoft: Νέα λειτουργία Windows Protected Print Mode
Τρίτον, οι κακόβουλες επεκτάσεις Chrome μπορούν να εγκαταστήσουν άλλο λογισμικό χωρίς την γνώση του χρήστη. Αυτό μπορεί να περιλαμβάνει λογισμικό που παρακολουθεί την δραστηριότητα του χρήστη, λογισμικό που εκτελεί κακόβουλες ενέργειες ή λογισμικό που χρησιμοποιεί τους πόρους του υπολογιστή του χρήστη για κακόβουλους σκοπούς.
Τέλος, οι κακόβουλες επεκτάσεις μπορούν να εκθέσουν τον χρήστη σε επιθέσεις phishing. Αυτό συμβαίνει όταν η επέκταση ανακατευθύνει τον χρήστη σε κακόβουλες ιστοσελίδες που προσπαθούν να αποκτήσουν πρόσβαση σε ευαίσθητα δεδομένα, όπως ονόματα χρηστών, κωδικούς πρόσβασης και πληροφορίες πιστωτικών καρτών.
Πηγή: www.bleepingcomputer.com
