悪意のあるChrome拡張機能が企業をスパイする方法

現在、Chrome拡張機能マルウェアの大部分は1台のPCのみを標的としています。キーロガーをインストールしたり、ブラウザの使用状況を追跡したりする場合がありますが、効果はすべて、使用しているPCにローカライズされています。

ただし、Chrome拡張機能マルウェアの新しいトレンドはそれを変えようとしています。これらの新しい株は、ペイロードだけを配信するのではなく、被害者のコンピューターに足場を確立します。

その足場から、ハッカーは組織のネットワークにさらに侵入することができます。彼らがネットワークの防御をうまく回避できれば、ハッカーはネットワーク上の他のPCやファイルシステムをスパイすることができます。

そのため、これはサイバーセキュリティの世界ではまだ見られていない不正なChrome拡張機能の進化形です。現在、大規模なネットワークの1人が、不正な拡張機能をダウンロードするだけで、他のすべての人を危険にさらす可能性があります。

実際のChrome拡張機能マルウェアの例

これは恐ろしいことのように思えるかもしれませんが、現実の世界でそれが起こらなければ、それはあまり意味がありません。では、この攻撃ベクトルが実行可能であるという証拠は何ですか？

この開発の証拠は、インターネット上のセキュリティの脅威を監視しているThreatPostから得られます。彼らのレポートでは、106の悪意のある拡張機能を見つけ、Googleに削除するように指示した方法について説明しています。

悪意のあるChrome拡張機能の削除は目新しいものではありません。気になる部分はマルウェアの動作でした。被害者のコンピュータからデータを盗むだけでなく、ハッカーが被害者のネットワークに侵入するためのバックドアも作成しました。

マルウェアはどのように機能しましたか？

Googleのセキュリティチェックは、拡張マルウェアの最大のハードルです。 Googleがそれを検出すると、マルウェアの新しい波に彼らをひっくり返す可能性があります。ただし、それが成功した場合、マルウェアは広範囲に拡散する可能性が高くなります。ユーザーはChromeウェブストアアプリを信頼する傾向があるため、マルウェア開発者は成功した場合に高いダウンロード率を確保できます。

この特定のマルウェアは、被害者をWebサイトにリダイレクトして、感染したファイルをダウンロードします。ただし、ウェブサイトに直接リンクしている場合、Googleは問題なくそれを盗聴します。

マルウェア開発者は、「モーフィングWebサイト」を作成することでこれを回避しました。コンピューターがWebサイトに接続すると、Webサイトはそれがどこから来たのかを確認します。

企業や消費者向けのISPからのものではない場合、たとえばGoogleのように、安全かどうかを確認するために人間以外のシステムがアクセスしている可能性があります。その見返りとして、Webサイトには無実のランディングページが表示され、ウイルスチェッカーをだましてWebサイトが安全であると思わせます。

ただし、訪問者が企業または消費者ISPからの場合、訪問者は人間です。 Webサイトは、悪意のあるリンクを表示する「実際の」Webサイトにユーザーをリダイレクトすることで応答します。

そのため、開発者がマルウェアをChromeウェブストアにアップロードすると、ウイルスチェッカーが偽のランディングページを見つけて、アプリに安全のマークを付けます。次に、ユーザーがそれをダウンロードすると、マルウェアのペイロードを含む実際のWebサイトが表示されました。

マルウェアはどこまで拡散しましたか？

残念ながら、この方法は検出を回避するのに非常に効果的だったため、106個のChrome拡張機能がウイルスチェッカーをすり抜けました。合計すると、アプリのダウンロード数は3,200万回に上ります。これは、これらのペイロードがどこまで広がっているかを心配するような表示です。

このマルウェアは、悪意のあるWebサイトを見つけたり、ファイルの種類を変換したりするアプリになりすました。これらは両方とも、人々が何も考えずにダウンロードする非常に人気のある拡張機能であり、ペイロードの完璧なカバーになりました。

そのため、マルウェアは100の異なる企業や組織に足場を築くことになりました。これには、金融、ヘルスケア、さらには政府機関も含まれ、ハッカーはさまざまな業界に足場を築きました。

各アプリのコードベースは非常に類似していたため、研究者は1つのグループがすべての拡張機能をアップロードしたと信じていました。彼らは、マルウェアが世界中の企業に足場を築くための世界的な監視の試みの一部であると信じていました。

マルウェアをダウンロードしましたか？

最近感染した拡張機能をダウンロードした疑いがある場合は、確認する方法があります。まず、 chrome：// extendeds / と入力して、拡張機能のページを開きます アドレスバーに入力します。悪意があると思われる拡張子を見つけて、その下にリストされているIDをメモします。

次に、IDを悪意のあるChrome拡張機能のリストと比較します。拡張子IDは文字の巨大な混乱であるため、 CTRL + Fを押すのが最善です 疑わしいIDをボックスに貼り付けます。これにより、リストが検索され、一致するものが見つかった場合に通知されます。