Οι επεκτάσεις Zoom Stealer συλλέγουν εταιρικές πληροφορίες συναντήσεων

Μια νέα καμπάνια, γνωστή ως Zoom Stealer, επηρεάζει 2,2 εκατομμύρια χρήστες των Chrome, Firefox και Microsoft Edge μέσω 18 επεκτάσεων που συλλέγουν δεδομένα που σχετίζονται με διαδικτυακές συναντήσεις, όπως URLs, IDs, θέματα, περιγραφές και ενσωματωμένους κωδικούς πρόσβασης. Το Zoom Stealer είναι μία από τις τρεις καμπάνιες επεκτάσεων browser που έχουν φτάσει σε πάνω από 7,8 εκατομμύρια χρήστες σε επτά χρόνια και αποδίδονται σε έναν μόνο απειλητικό παράγοντα γνωστό ως DarkSpectre.

Δείτε επίσης: Zoom Security Update – Διόρθωση πολλαπλών ευπαθειών

Αυτός ο παράγοντας πιστεύεται ότι συνδέεται με την Κίνα και είναι επίσης υπεύθυνος για το προηγουμένως καταγεγραμμένο GhostPoster, το οποίο στόχευε χρήστες του Firefox, και το ShadyPanda, το οποίο παρέδιδε φορτία spyware σε χρήστες των Chrome και Edge. Το ShadyPanda παραμένει ενεργό μέσω εννέα επεκτάσεων και επιπλέον 85 ‘sleepers’ που δημιουργούν μια βάση χρηστών πριν γίνουν κακόβουλες μέσω ενημερώσεων, σύμφωνα με ερευνητές της εταιρείας ασφάλειας εφοδιαστικής αλυσίδας Koi Security.

Η απόδοση σε έναν απειλητικό παράγοντα που συνδέεται με την Κίνα είναι πιο σαφής τώρα βάσει των διακομιστών φιλοξενίας στο Alibaba Cloud, των εγγραφών ICP, των τεχνουργημάτων κώδικα που περιέχουν κινεζικές γλωσσικές συμβολοσειρές και σχόλια, των προτύπων δραστηριότητας που ταιριάζουν με τη ζώνη ώρας της Κίνας και της στόχευσης κερδοφορίας προσαρμοσμένης στο κινεζικό ηλεκτρονικό εμπόριο. Οι 18 επεκτάσεις στην καμπάνια Zoom Stealer δεν σχετίζονται όλες με συναντήσεις.

Ορισμένες μπορούν να χρησιμοποιηθούν για να κατεβάσουν βίντεο ή να λειτουργήσουν ως βοηθοί εγγραφής, όπως το Chrome Audio Capture και το Twitter X Video Downloader, τα οποία είναι ακόμα διαθέσιμα στο Chrome Web Store. Οι ερευνητές της Koi Security σημειώνουν ότι όλες οι επεκτάσεις στην καμπάνια Zoom Stealer ζητούν πρόσβαση σε 28 πλατφόρμες βιντεοδιάσκεψης (π.χ. Zoom, Microsoft Teams, Google Meet και Cisco WebEx) και συλλέγουν τα εξής δεδομένα:

Δείτε ακόμα: Η BlueNoroff διανέμει MacOS malware μέσω deepfake βίντεο σε Zoom meetings

– URLs και IDs συναντήσεων, συμπεριλαμβανομένων ενσωματωμένων κωδικών πρόσβασης

– Κατάσταση εγγραφής, θέματα και προγραμματισμένες ώρες

– Ονόματα ομιλητών και οικοδεσποτών, τίτλοι, βιογραφικά και φωτογραφίες προφίλ

– Λογότυπα εταιρειών, γραφικά και μεταδεδομένα συνεδριών

Αυτά τα δεδομένα εξάγονται μέσω συνδέσεων WebSocket και μεταδίδονται στους απειλητικούς παράγοντες σε πραγματικό χρόνο, ενεργοποιούμενα όταν τα θύματα επισκέπτονται σελίδες εγγραφής σε διαδικτυακά σεμινάρια, συμμετέχουν σε συναντήσεις ή πλοηγούνται σε πλατφόρμες διάσκεψης.

Η Koi Security δηλώνει ότι αυτά τα δεδομένα μπορούν να χρησιμοποιηθούν για εταιρική κατασκοπεία και πωλήσεις πληροφοριών, διευκολύνοντας πιθανώς επιθέσεις social engineering ή ακόμα και πώληση συνδέσμων συναντήσεων σε ανταγωνιστές. Συλλέγοντας συστηματικά συνδέσμους συναντήσεων, λίστες συμμετεχόντων και εταιρικές πληροφορίες από 2,2 εκατομμύρια χρήστες, το DarkSpectre έχει δημιουργήσει μια βάση δεδομένων που θα μπορούσε να επιτρέψει επιχειρήσεις μεγάλης κλίμακας πλαστοπροσωπίας, παρέχοντας στους επιτιθέμενους διαπιστευτήρια για να συμμετάσχουν σε εμπιστευτικές κλήσεις, λίστες συμμετεχόντων για να γνωρίζουν ποιον να πλαστοπροσωπήσουν και το πλαίσιο για να κάνουν αυτές τις πλαστοπροσωπίες πειστικές.

Δείτε επίσης: O Vladimir Putin “τα έβαλε” με τις Microsoft και Zoom

Οι χρήστες θα πρέπει να εξετάζουν προσεκτικά τις άδειες που απαιτούνται από αυτές τις επεκτάσεις και να περιορίζουν τον αριθμό τους στο απολύτως απαραίτητο ελάχιστο. Η Koi Security έχει αναφέρει τις παραβατικές επεκτάσεις, αλλά πολλές παραμένουν στο Chrome Web Store. Οι ερευνητές έχουν δημοσιεύσει μια πλήρη λίστα των ενεργών επεκτάσεων DarkSpectre.