Resumo:
Pesquisadores de segurança descobriram recentemente que uma campanha maliciosa de vários anos está usando o sistema de extensão do Chrome para atacar usuários. Os cibercriminosos implantaram códigos maliciosos em múltiplas extensões de navegador, afetando dezenas de milhares de dispositivos. Mesmo que a extensão relevante tenha sido removida da app store, os usuários ainda podem estar em risco se não verificarem e ajustarem manualmente as configurações do navegador.
Pesquisadores do Socket encontraram um total de 19 extensões maliciosas direcionadas a usuários do Chrome e Edge. Embora a campanha de ataque tenha como alvo principal o Google Chrome, uma das extensões ganhou grande popularidade tanto no Chrome quanto no Edge. Os pesquisadores acreditam que esses ataques provavelmente serão operados pelo mesmo grupo criminoso e, embora as extensões relevantes tenham sido removidas das duas principais lojas de navegadores, as pessoas por trás delas ainda estão tentando manter a atividade do ataque.
Socket afirmou que essas extensões maliciosas usam métodos de ataque semelhantes. 14 deles foram desenvolvidos diretamente por cibercriminosos e os outros 5 foram adquiridos de desenvolvedores ou empresas legítimas. A extensão foi inicialmente capaz de fornecer a funcionalidade anunciada, mas nos últimos seis meses, os hackers atualizaram a extensão para inserir código malicioso nela para invadir os sistemas dos usuários ou coletar dados do usuário.
Entre as extensões afetadas, uma ferramenta chamada "Ativar clique com o botão direito e copiar - Desbloqueio inteligente + OCR" é particularmente popular. Ele foi instalado em aproximadamente 70.000 navegadores Chrome e 10.000 navegadores Edge, expondo ao risco um total de aproximadamente 80.000 usuários. Esta extensão visa principalmente carteiras de criptomoedas e outros dados relacionados a criptomoedas.
Os pesquisadores disseram que os invasores usaram alguns padrões de ataque baseados em código que foram descobertos pela primeira vez em fevereiro de 2024. Eles esperam que a extensão acumule vítimas potenciais suficientes antes de entregar remotamente a carga maliciosa e gerenciar o roubo de criptomoedas por meio de uma infraestrutura flexível de domínio de comando e controle.
Atualmente, essas 19 extensões maliciosas foram removidas das lojas de aplicativos Chrome e Edge. No entanto, se os utilizadores não analisarem e removerem manualmente todas as 19 extensões listadas pelos investigadores, os dispositivos relevantes ainda poderão permanecer em contacto com a infraestrutura de comando e controlo do atacante e, portanto, continuarem em risco.
O Google anunciou em 2018 que faria grandes ajustes na tecnologia de extensão usada pelo projeto Chromium. A API Manifest V3, lançada para navegadores baseados em Chromium, como Chrome e Microsoft Edge, foi originalmente projetada para melhorar a arquitetura de segurança das extensões de navegador.
No entanto, essas 19 extensões que foram reimplantadas com cargas maliciosas mostram que as atualizações da arquitetura técnica por si só não podem impedir completamente esses ataques. Mesmo que o Manifest V2 seja eventualmente retirado, os cibercriminosos podem continuar a ter como alvo extensões de navegadores populares.
Comentários