Μια νέα επίθεση επιτρέπει σε κακόβουλες επεκτάσεις Chrome να μεταμορφώνονται σε άλλες γνωστές επεκτάσεις, συμπεριλαμβανομένων password managers, crypto wallets και banking apps, για να κλέψουν δεδομένα.
Η επίθεση σχεδιάστηκε από την SquareX Labs, η οποία προειδοποιεί για την πρακτικότητά της στην τελευταία έκδοση του Chrome. Οι ερευνητές αποκάλυψαν υπεύθυνα την επίθεση στην Google.
Επεκτάσεις Chrome που αλλάζουν μορφή
Η επίθεση ξεκινά με την υποβολή της κακόβουλης πολυμορφικής επέκτασης στο Web Store του Chrome.
Η SquareX χρησιμοποιεί, ως παράδειγμα, ένα AI marketing εργαλείο το οποίο προσφέρει την λειτουργικότητα που υπόσχεται και πείθει τα θύματα να εγκαταστήσουν και να καρφιτσώσουν την επέκταση στο πρόγραμμα περιήγησής τους.
Δείτε επίσης: Κακόβουλες επεκτάσεις VSCode στοχεύουν developers και επενδυτές crypto
Για να λάβει μια λίστα με άλλες εγκατεστημένες επεκτάσεις, η κακόβουλη επέκταση κάνει κατάχρηση του API «chrome.management». Μπορεί να αποκτήσει πρόσβαση εκεί χάρη στις άδειες που απέκτησε κατά την εγκατάσταση. Εάν η κακόβουλη επέκταση δεν έχει αυτήν την άδεια, η SquareX λέει ότι υπάρχει κι άλλη μέθοδος, που περιλαμβάνει το resource injection σε ιστοσελίδες που επισκέπτεται το θύμα.
Το κακόβουλο script επιχειρεί να φορτώσει ένα συγκεκριμένο αρχείο ή μια διεύθυνση URL μοναδική για στοχευμένες επεκτάσεις. Εάν φορτωθεί, μπορεί να συναχθεί το συμπέρασμα ότι η επέκταση έχει εγκατασταθεί.
Η λίστα με τις εγκατεστημένες επεκτάσεις αποστέλλεται σε έναν διακομιστή που ελέγχεται από τους επιτιθέμενους. Εάν βρεθεί μια στοχευμένη, οι εισβολείς δίνουν εντολή στην κακόβουλη επέκταση να μεταμορφωθεί σε αυτή.
Δείτε επίσης: Η Google επιτρέπει τη δημιουργία Chrome Web Stores για επεκτάσεις
Στο παράδειγμα, οι επιτιθέμενοι μιμήθηκαν την επέκταση του 1Password password manager, απενεργοποιώντας πρώτα τη νόμιμη επέκταση (χρησιμοποιώντας το API ‘chrome.management’). Όταν δεν είναι δυνατή η απενεργοποίηση, οι επιτιθέμενοι μπορούν να αλλοιώσουν το user interface για να την αποκρύψουν από τον χρήστη.
Ταυτόχρονα, η κακόβουλη επέκταση αλλάζει το εικονίδιο της για να μιμηθεί αυτό του 1Password, αλλάζει το όνομά της και εμφανίζει ένα ψεύτικο αναδυόμενο παράθυρο σύνδεσης που ταιριάζει με την εμφάνιση του πραγματικού.
Ο χρήστης καλείται να εισαγάγει τα διαπιστευτήριά του και για να γίνει αυτό, όταν προσπαθεί να συνδεθεί σε έναν ιστότοπο εμφανίζεται ένα ψεύτικο μήνυμα “Session Expired“, κάνοντας το θύμα να πιστεύει ότι έχει αποσυνδεθεί.
Έτσι, καλείται να συνδεθεί ξανά στο 1Password μέσω μιας φόρμας phishing που στέλνει τα διαπιστευτήρια στους εισβολείς.
Μόλις αποσταλούν οι πληροφορίες, η κακόβουλη επέκταση επανέρχεται στην αρχική της εμφάνιση και η πραγματική επέκταση ενεργοποιείται ξανά.
Η SquareX συνιστά στην Google να εφαρμόσει συγκεκριμένες άμυνες έναντι αυτής της επίθεσης, όπως τον αποκλεισμό abrupt extension icons και αλλαγών HTML σε εγκατεστημένες επεκτάσεις. Εναλλακτικά, θα πρέπει τουλάχιστον να ειδοποιεί τους χρήστες όταν συμβαίνει αυτό.
Δείτε επίσης: Chrome 134 και Firefox 136 διορθώνουν κρίσιμες ευπάθειες
Οι ερευνητές της SquareX σημείωσαν επίσης ότι η Google ταξινομεί λανθασμένα το API «chrome.management» ως «μεσαίου κινδύνου». Πολλές δημοφιλείς επεκτάσεις έχουν εκτεταμένη πρόσβαση σε αυτό. Επομένως, οι κακόβουλες επεκτάσεις μπορούν εύκολα να το καταχραστούν.
Πώς να προστατεύσετε τον εαυτό σας
✅ Εγκαταστήστε επεκτάσεις μόνο από αξιόπιστους προγραμματιστές – Ελέγξτε τις κριτικές, τα στοιχεία προγραμματιστή και τα δικαιώματα πριν εγκαταστήσετε οτιδήποτε.
✅ Περιορίστε τα δικαιώματα επεκτάσεων – Αποφύγετε τις επεκτάσεις που ζητούν άσκοπη πρόσβαση στα δεδομένα σας.
✅ Ελέγχετε τακτικά τις εγκατεστημένες επεκτάσεις – Αφαιρέστε οτιδήποτε άγνωστο ή αχρησιμοποίητο.
✅ Χρησιμοποιήστε ένα πρόγραμμα περιήγησης που εστιάζει στην ασφάλεια – Ορισμένα προγράμματα περιήγησης δίνουν περισσότερη έμφαση στο απόρρητο και την ασφάλεια.
✅ Ενεργοποίηση Βελτιωμένης Ασφαλούς Περιήγησης (Chrome) – Αυτό παρέχει ισχυρότερη προστασία από κακόβουλους ιστότοπους και επεκτάσεις.
✅ Παρακολούθηση για ασυνήθιστη δραστηριότητα – Εάν παρατηρήσετε περίεργες συνδέσεις ή μη εξουσιοδοτημένες συναλλαγές, ενεργήστε αμέσως.
Πηγή: www.bleepingcomputer.com
