Dwa popularne rozszerzenia przeglądarki udające bezpłatne usługi VPN zostały przyłapane na kradzieży danych ze schowka użytkowników. Dodatki do przeglądarek Chrome i Firefox potajemnie zbierały wszystko, co użytkownicy kopiowali, jednocześnie dbając o to, aby funkcje proxy działały tak, aby wyglądały na legalne.
Rozszerzenia działają pod marką VPN Go. Wersja Chrome miała około 146 aktywnych instalacji, podczas gdy wersja Firefox miała w momencie odkrycia 3499 użytkowników. Socket, wschodząca platforma cyberbezpieczeństwa przeznaczona dla programistów,powiadomił o tym obu dostawców przeglądarekszkodliwe dodatki i zażądał ich usunięcia z oficjalnych sklepów.
Deweloper wprowadził kradzież schowka poprzez coś, co wygląda jak zwykłe aktualizacje. Rozszerzenie Chrome początkowo działało jako czyste narzędzie proxy, gdy zostało uruchomione w grudniu ubiegłego roku. Szkodliwy kod pojawił się w późniejszej wersji opublikowanej pod koniec maja tego roku.
Złodzieje schowków są szczególnie niebezpieczni, ponieważ wiele osób zwyczajowo kopiuje do swoich schowków dane osobowe i hasła. Wykorzystując uprawnienia przeglądarki, ale nie sam system operacyjny, osoby atakujące mogą przechwycić te sekrety przy niewielkiej widoczności dla użytkownika lub bez niej.
Jak działały złośliwe rozszerzenia
Złośliwy kod rozszerzenia do Chrome był aktywowany na każdej stronie internetowej odwiedzanej przez użytkownika. Co pół sekundy sprawdzał schowek pod kątem nowej zawartości. Skrypt podzielił skopiowany tekst na segmenty i utworzył unikalny znacznik sesji. Następnie przekazał wszystko do procedury obsługi w tle, która to przekazała.
Rozszerzenie ignorowało zduplikowane wpisy, co uniemożliwiało wielokrotne przesyłanie tej samej treści. Twórcy zaimplementowali to, aby uniknąć wykrycia i zmniejszyć podejrzany ruch sieciowy. Następnie pracownik usług działający w tle przekazał skradzione dane ze schowka na serwery kontrolowane przez atakujących.
Wersja przeglądarki Firefox również odzwierciedla ten proces, ale robi to w inny sposób. Kończy kradzież w skrypcie działającym w tle i odpytuje co 1,5 sekundy. Jest to prawdopodobnie spowodowane różnicą w architekturze.
Obydwa dodatki łączą się z tym samym systemem zaplecza i korzystają z niemal identycznych sposobów pobierania i wysyłania zawartości schowka. Śledczy zlokalizowali szczegóły konfiguracji przeglądarki Firefox, w tym identyfikator rozszerzenia, w plikach wersji przeglądarki Chrome. Oznacza to, że oba rozszerzenia mają wspólną bazę kodu lub proces kompilacji, więc prawdopodobnie mają tego samego twórcę.
Złośliwe wykorzystanie infrastruktury VPN przyciągnęło uwagę całego świata.Władze niedawno zamknęły „pierwszą usługę VPN”w międzynarodowej operacji wymierzonej w powiązania z cyberprzestępczością.
Dlaczego dane ze schowka są tak cenne
Kradzież danych ze schowka stwarza poważne ryzyko bezpieczeństwa, ponieważ zawiera wrażliwe szczegóły. Wiele osób zazwyczaj przechowuje w swoim schowku informacje, które mogą obejmować menedżera haseł, kody MFA (z aplikacji uwierzytelniającej), klucze API do usług w chmurze, tokeny OAuth do integracji z firmami zewnętrznymi, dane uwierzytelniające w chmurze, adresy portfeli kryptowalut i frazy odzyskiwania dla ich portfeli cyfrowych.
Gdy złośliwe rozszerzenie przeglądarki przechwyci dane w schowku, osoba atakująca może je wykorzystać do spowodowania poważnych szkód w zakresie bezpieczeństwa. Mogą uzyskać dostęp do Twoich kont i okraść Cię lub naruszyć bezpieczeństwo całego systemu.
Rozszerzenia VPN Go wysyłały wszystkie przechwycone dane ze schowka z powrotem na serwery atakującego. Dzięki temu atakujący otrzymuje bardzo ważny, ciągły strumień poufnych informacji o swoich ofiarach.
Legalna funkcja proxy pomogła rozszerzeniom uniknąć podejrzeń. Użytkownicy zauważyli, że VPN działa prawidłowo i założyli, że oprogramowanie jest bezpieczne. Szerokie uprawnienia wymagane do działania proxy zapewniły wygodną przykrywkę dla monitorowania schowka.
Badacze gniazd stwierdzili, że rozszerzenia mogą pobierać dane uwierzytelniające proxy sklepu, lokalizacje proxy i kierować ruch przeglądarki przez zdalne serwery. Ta legalna funkcjonalność pomogła zbudować zaufanie i zapewniła przekonujący powód dla rozbudowanych uprawnień przeglądarki.
Chroniąc siebie, wiedząc, co robić
Socket radzi każdemu, kto korzysta z tych rozszerzeń, aby je bezzwłocznie odinstalował. Firma zgłosiła również oba rozszerzenia do Google i Mozilli w celu sprawdzenia i usunięcia.
Każdy, kto korzystał z tych rozszerzeń, powinien uznać wszystkie poufne informacje skopiowane w tym czasie za potencjalnie zagrożone. Obejmuje to hasła, klucze API, dane uwierzytelniające w chmurze, tokeny OAuth, materiały do odzyskiwania kryptowalut i wszelkie inne poufne informacje skopiowane podczas instalacji rozszerzeń.
Użytkownicy powinni zmienić hasła do wszystkich kont, do których uzyskali dostęp, gdy rozszerzenia były aktywne. Powinni także zmieniać klucze API i generować nowe adresy portfeli kryptowalut, jeśli skopiowali te dane. Kolejną istotną praktyką jest monitorowanie kont pod kątem podejrzanej aktywności.
Incydent uwypuklił znaczenie instalowania wyłącznie zaufanych rozszerzeń przeglądarki. Użytkownicy powinni dokładnie sprawdzić uprawnienia wymagane przez dowolne rozszerzenie przed instalacją. Rozszerzenia żądające dostępu do schowka lub możliwości odczytu danych na wszystkich stronach internetowych zasługują na szczególną uwagę.