Razširitve brskalnika so postale vsakdanje orodje za milijone uporabnikov, ki želijo izboljšati svojo izkušnjo v Chromu, Firefoxu ali Edgeu . Lahko prevajajo spletne strani, blokirajo oglase, upravljajo gesla ali pospešijo brskanje in so običajno nameščene z le nekaj kliki iz uradnih trgovin z aplikacijami. Prav zaradi te priročnosti mnogi ljudje le redko preverijo, kdo stoji za posameznim dodatkom ali katera dovoljenja zahteva.
Ta spregled odpira vrata kibernetskim kriminalcem, da uporabljajo razširitve kot tihi kanal za vohunjenje in krajo podatkov . Nedavna kampanja z imenom GhostPoster je jasno pokazala, kako nevaren je ta vektor: goljufive razširitve se integrirajo, kot da bi bile legitimne, delujejo na videz normalno in lahko ostanejo aktivne leta, ne da bi vzbujale sum, medtem ko spremljajo dejavnost uporabnikov.
Kaj je kampanja GhostPoster in zakaj je zaskrbljujoča?
Preiskave več podjetij za kibernetsko varnost, vključno s KOI in LayerX , so odkrile obsežno operacijo, ki izkorišča uradne trgovine z razširitvami Mozilla Firefox, Google Chrome in Microsoft Edge. V okviru kampanje GhostPoster je bilo odkritih na desetine dodatkov, ki so skupaj po vsem svetu namestili več kot 840.000 ljudi – številka, ki ponazarja obseg problema.
Te zlonamerne razširitve se maskirajo kot vsakdanja orodja: prevajalniki strani, blokatorji oglasov, domnevni VPN-ji ali pripomočki za upravljanje prenosov. Ko so nameščene, delujejo v ozadju, spremljajo dejavnost brskalnika žrtve, dostopajo do podatkov brskanja in v nekaterih primerih omogočajo zadnja vrata, ki omogočajo oddaljeni nadzor nad računalnikom.
Še posebej zaskrbljujoče je, da so številne od teh razširitev že dolgo na voljo v uradnih katalogih, kar pomeni, da so prestale filtre pregledov v spletni trgovini Chrome, dodatkih za Firefox in trgovini Edge . Glede na objavljene analize nekatere delujejo že od leta 2020, kar kampanji omogoča, da ostane aktivna stalno in brez večjih motenj.
Znotraj GhostPosterja so strokovnjaki odkrili tudi naprednejšo in bolj izmikajočo se različico , ki je sama po sebi dosegla več kot 3.800 namestitev. Ta veja izstopa po svoji sposobnosti, da obide kontrole in se zlije z na videz legitimnimi razširitvami, zaradi česar uporabniki še težje opazijo, da je nekaj narobe.
Kako delujejo zlonamerne razširitve, ki stojijo za GhostPosterjem
Razširitve brskalnika, pa naj bo to za Chrome, Firefox ali Edge, so globoko integrirane s programsko opremo in lahko berejo in spreminjajo vsebino spletnih strani , dostopajo do piškotkov in zgodovine brskanja ter v nekaterih primerih komunicirajo z operacijskim sistemom. Ko je razširitev dobro zasnovana, vse to služi zagotavljanju uporabnih funkcij; ko je zlonamerna, postane isti dostop precizno orožje za napadalce.
V primeru GhostPosterja je ključ v skrbnem prikrivanju zlonamerne komponente. Preiskave kažejo, da odgovorni za kampanjo skrivajo del kode JavaScript znotraj slike PNG ikone razširitve . Ta tehnika, znana kot steganografija, omogoča kamuflažo informacij v na videz neškodljivih datotekah, tako da je na prvi pogled viden le običajen logotip, v notranjosti pa se skriva koda, ki se bo kasneje izvedla.
Ta skrita koda se aktivira, ko je razširitev nameščena, in v realnem času vohuni za uporabnikovo dejavnostjo . Lahko beleži, katere strani so obiskane, kateri obrazci so izpolnjeni in katere storitve so uporabljene, ter prestreže občutljive podatke, kot so poverilnice ali žetoni seje. V nekaterih primerih prenese tudi dodatne module, ki na koncu odprejo zadnja vrata v prizadetem računalniku in napadalcem omogočijo oddaljeno povezavo.
Z uporabo steganografije lahko kibernetski kriminalci med avtomatiziranim pregledovanjem shramb razširitev dosežejo, da zlonamerna komponenta ostane relativno neopažena. Analitični sistemi običajno preverijo vidno kodo in deklarirano vedenje , vendar morda ne zaznajo, da se pravo jedro napada skriva v preprosti sliki. Ta pristop platformam, ki poskušajo omejiti distribucijo goljufivih dodatkov, otežuje preprečevanje distribucije goljufivih dodatkov.
Poleg tega dodatki, povezani z GhostPosterjem, zelo posnemajo funkcije legitimnih orodij, za katera trdijo, da so jim podobni. Ponujajo na primer prevajanje strani ali osnovno blokiranje oglasov, kar krepi občutek normalnosti. Medtem ko uporabnik verjame, da uporablja uporabno razširitev, se v ozadju ustvarja stalen tok informacij na strežnike, ki jih nadzoruje napadalec.
Vloga KOI in LayerX pri odkritju kampanje
Razkritje GhostPosterja se ni zgodilo čez noč. Analitiki varnostnega podjetja KOI so decembra v uradni trgovini Mozilla Firefox odkrili začetno skupino 17 zlonamernih razširitev. Vse so bile namenjene uporabnikom, ki iščejo običajne pripomočke, in so skupaj zabeležile več kot 50.000 prenosov.
Kmalu zatem je podjetje za kibernetsko varnost LayerX nadaljevalo preiskavo in odkrilo še en paket 17 podobnih dodatkov, ki so bili distribuirani prek katalogov Microsoft Edge in Google Chrome. S temi novimi odkritji se je skupno število namestitev, povezanih z GhostPosterjem, v treh brskalnikih povzpelo na več kot 840.000, kar kaže na kampanjo s pomembnim globalnim vplivom.
Objavljena poročila podrobno navajajo, da so imele vse te razširitve zelo podobne vedenjske vzorce in tehnične strukture, kar vodi do sklepa, da so bile del iste usklajene sheme. Med opredeljenimi cilji so bili spremljanje brskanja v realnem času, množično zbiranje podatkov in tiha vgradnja zadnjih vrat v naprave.
Med analizo sta KOI in LayerX poudarila, da operacija GhostPoster ni osamljen incident, temveč dokaz večletne trajnostne strategije izkoriščanja ekosistema razširitev brskalnika. Raziskovalci poudarjajo, da je kombinacija velikega števila namestitev in poznega odkrivanja napadalcem omogočila, da so svoje kampanje ohranili z veliko manevrskega prostora.
Po mnenju strokovnjakov se sami prodajalci brskalnikov soočajo z zapleteno nalogo: odkrivanjem zlonamernih orodij, ki posnemajo priljubljene storitve . Čeprav obstajajo avtomatizirani nadzor in postopki pregledovanja, izkušnje kažejo, da niso vedno zadostni za zaustavitev razširitev, ki uporabljajo napredne taktike prikrivanja, kot so tiste, ki jih vidimo v GhostPosterju.
Kdo stoji za tem: skupina Darkspectre in njihove prejšnje kampanje
Preiskava kaže na znanega akterja na področju kibernetske varnosti: Darkspectre . Ta skupina že leta uporablja razširitve brskalnikov za distribucijo zlonamerne programske opreme in ji pripisujejo zasluge za prejšnje operacije, kot sta ShadyPanda in The Zoom Stealer, ki si delita tehnične vire in infrastrukturo z GhostPosterjem.
Glede na zbrane podatke je Darkspectre sčasoma izpopolnjeval svoje taktike. Prejšnje kampanje so že pokazale posebno zanimanje za infiltracijo prek na videz zaupanja vrednih kanalov , kot so uradne trgovine z dodatki. GhostPoster bi bil v tem smislu razvoj strategije, ki si prizadeva povečati doseg, ne da bi pri tem takoj sprožila rdeče zastavice.
LayerX pojasnjuje, da jim je sledenje infrastrukture, ki se uporablja v GhostPosterju, ShadyPandi in The Zoom Stealerju, omogočilo dokumentiranje tehničnega razvoja teh groženj . Raziskovalci so opazovali, kako se domene, strežniki in delčki kode ponovno uporabljajo v različnih napadih, pri čemer so orodja prilagodili varnostnim ukrepom, ki jih izvajajo platforme.
Ena najbolj zaskrbljujočih težav za varnostna podjetja je, da so nekatere razširitve, povezane z Darkspectre, ostale aktivne od leta 2020, ne da bi jih kdo zaznal. Ta vztrajnost poudarja tako prefinjenost napadalcev kot tudi omejitve avtomatiziranih sistemov za skeniranje, ki niso vedno sposobni prepoznati zlonamernih vzorcev, ko so skriti v nenavadnih komponentah, kot so grafične ikone.
Poročila tudi kažejo, da se GhostPoster z operativnega vidika zanaša na zelo sofisticirane tehnike izogibanja . Te vključujejo zakasnjeno nalaganje komponent, aktivacijo le v določenih navigacijskih pogojih in uporabo diskretne komunikacije s strežniki za poveljevanje in nadzor. Vse to pomaga zmanjšati šum in ostati čim dlje neopažen za radar.
Razširitve, vse pogostejši vektor napadov
Strokovnjaki poleg GhostPosterja že dolgo opozarjajo, da so razširitve brskalnika stalna tarča kibernetskih kriminalcev . Zaradi svoje priljubljenosti in zaupanja, ki ga vzbujajo, saj naj bi prihajale iz uradnih trgovin, so idealen kanal za prikrito vnašanje zlonamerne programske opreme, ne da bi uporabnik kaj posumil.
V mnogih primerih žrtve prenesejo te dodatke, ker obljubljajo privlačne in brezplačne funkcije : odstranjevanje vsiljivih oglasov, izboljšanje zasebnosti, pospešitev brskalnika ali avtomatizacijo ponavljajočih se opravil. Težava je v tem, da lahko razširitev, ko so dovoljenja odobrena, dostopa do precejšnje količine informacij, ne da bi morala ponovno zahtevati avtorizacijo.
Kampanje, kot je GhostPoster, kažejo, da tudi ko razširitev izpolni nekatere svoje obljube, lahko izvaja skrite dejavnosti . Z drugimi besedami, dodatek lahko blokira oglase ali normalno prevaja strani, hkrati pa zbira podatke brskanja, prestreže poverilnice ali komunicira z zunanjimi strežniki za prenos novih navodil.
Uporaba tehnik, kot sta steganografija slik ali izvajanje zakrite kode, močno otežuje nalogo analize. Tradicionalni varnostni sistemi običajno iščejo znane vzorce , ko pa je zlonamerna koda skrita v grafičnih datotekah ali porazdeljena v majhnih delih med različnimi komponentami, postane identifikacija veliko težja.
Ta scenarij sili tako razvijalce brskalnikov kot trgovine z razširitvami, da okrepijo svoje mehanizme preverjanja . Strokovnjaki poudarjajo, da bo treba združiti poglobljeno avtomatizirano analizo, ročne preglede in natančnejše spremljanje dejanskega vedenja razširitev po objavi, zlasti tistih, ki v kratkem času dosežejo veliko število namestitev.
Vpliv na uporabnike v Evropi in osnovna priporočila
Kampanja GhostPoster ima globalni doseg, vendar vpliva tudi na uporabnike v Španiji in preostali Evropi , kjer Chrome, Firefox in Edge predstavljajo skoraj vso uporabo brskalnikov v domačem in poslovnem okolju. Vsakdo, ki je v zadnjih letih namestil razširitve za prevajanje, blokatorje oglasov ali VPN-je, bi lahko bil izpostavljen, če bi bil dodatek na seznamu zlonamernih.
Evropski organi in odzivne ekipe uporabljajo poročila podjetij, kot sta KOI in LayerX, za posodabljanje svojih opozoril in predpisov o kibernetski varnosti . Splošno priporočilo je redno pregledovanje nameščenih razširitev in odstranjevanje tistih, ki se ne uporabljajo več ali katerih izvor ni jasen. Ni neobičajno, da se kopičijo dodatki, ki so bili enkrat uporabljeni in nato pozabljeni, vendar imajo še vedno dostop do brskalnika.
Za zmanjšanje tveganj strokovnjaki svetujejo, da daste prednost razširitvam, ki jih razvijejo ugledne organizacije , preverite ocene in število uporabnikov ter bodite previdni pri rešitvah, ki obljubljajo preveč funkcij v enem samem paketu. Priporočljivo je tudi, da pred namestitvijo pregledate zahtevana dovoljenja, zlasti kadar dodatek zahteva poln dostop do vseh podatkov brskanja, ne da bi se to zdelo nujno potrebno.
V poslovnem svetu, kjer brskanje pogosto vključuje dostop do občutljivih informacij in notranjih storitev, evropske organizacije uvajajo posebne politike za nadzor nad tem, katere razširitve se lahko uporabljajo v poslovnih računalnikih . Med običajne ukrepe spadajo ustvarjanje belih seznamov dovoljenih dodatkov, centralizirano spremljanje in uporaba varnostnih rešitev, ki lahko sledijo dejavnosti brskalnika.
Za posamezne uporabnike, ki sumijo, da so namestili potencialno zlonamerno razširitev, strokovnjaki priporočajo odstranitev dodatka, izvedbo skeniranja z zanesljivim protivirusnim programom in, če dvomi vztrajajo, posvet s strokovnjakom za kibernetsko varnost. V kompleksnih kampanjah, kot je GhostPoster, preprosta odstranitev razširitve morda ne bo dovolj, če je bila v sistemu nameščena dodatna zlonamerna programska oprema.
Primer GhostPoster poudarja tveganja slepega zaupanja uradnim trgovinam z razširitvami . Čeprav ostajajo najvarnejši kanal pred prenosi z neznanih spletnih mest, izkušnje kažejo, da niso nezmotljivi in da se napadalci lahko prilagodijo njihovim varnostnim ukrepom. Kombinacija bolj kritičnega vedenja uporabnikov, strožjih postopkov pregledovanja in stalnega spremljanja s strani varnostnih podjetij bo ključnega pomena za preprečevanje podobnih kampanj v prihodnosti.
