Разширенията за браузър са се превърнали в ежедневен инструмент за милиони потребители, които искат да подобрят практическата си работа в Chrome, Firefox или Edge . Те могат да превеждат уеб страници, да блокират реклами, да управляват пароли или да ускоряват сърфирането и обикновено се инсталират само с няколко кликвания от официалните магазини за приложения. Именно поради това удобство много хора рядко проверяват кой стои зад всяка добавка или какви разрешения изисква тя.
Този пропуск отваря вратата за киберпрестъпниците да използват разширенията като тих канал за шпиониране и кражба на данни . Неотдавнашна кампания, наречена GhostPoster, ясно показа колко опасен е този вектор: измамните разширения се интегрират сякаш са легитимни, функционират привидно нормално и могат да останат активни години наред, без да пораждат подозрения, докато наблюдават потребителската активност.
Какво представлява кампанията GhostPoster и защо е обезпокоителна?
Разследвания на няколко фирми за киберсигурност, включително KOI и LayerX , разкриха мащабна операция, използваща официалните магазини за разширения на Mozilla Firefox, Google Chrome и Microsoft Edge. В рамките на кампанията GhostPoster бяха идентифицирани десетки добавки, като общо надхвърлят 840 000 инсталации по целия свят – цифра, която илюстрира мащаба на проблема.
Тези злонамерени разширения се маскират като ежедневни инструменти: преводачи на страници, блокери на реклами, предполагаеми VPN мрежи или помощни програми за управление на изтегляния. След като бъдат инсталирани, те работят във фонов режим, наблюдават активността на браузъра на жертвата, осъществяват достъп до данни за сърфиране и в някои случаи активират задни врати, които позволяват дистанционно управление на компютъра.
Особено тревожно е, че много от тези разширения са налични в официалните каталози от дълго време, което означава, че са преминали филтрите за преглед на уеб магазина на Chrome, добавките за Firefox и магазина на Edge . Според публикувани анализи, някои от тях работят от 2020 г., което позволява на кампанията да остане активна стабилно и без големи прекъсвания.
В рамките на GhostPoster експертите са идентифицирали и по-усъвършенстван и уклончив вариант , който сам по себе си е постигнал над 3.800 инсталации. Този клон се откроява със способността си да заобикаля контролите и да се слива с привидно легитимни разширения, което прави още по-трудно за потребителите да осъзнаят, че нещо не е наред.
Как работят злонамерените разширения зад GhostPoster
Разширенията на браузъра, независимо дали са за Chrome, Firefox или Edge, са дълбоко интегрирани със софтуера и могат да четат и променят съдържанието на уеб страници , да имат достъп до „бисквитки“ и история на сърфиране, а в някои случаи и да взаимодействат с операционната система. Когато едно разширение е добре проектирано, всичко това служи за предоставяне на полезни функции; когато е злонамерено, същият този достъп се превръща в прецизно оръжие за нападателите.
В случая с GhostPoster, ключът се крие във внимателното скриване на злонамерения компонент. Разследванията показват, че отговорните за кампанията крият част от JavaScript кода в PNG изображението на иконата на разширението . Тази техника, известна като стеганография, позволява информацията да бъде камуфлирана в привидно безобидни файлове, така че на пръв поглед да се вижда само обикновено лого, но вътре се крие кодът, който по-късно ще бъде изпълнен.
Този скрит код се активира след инсталирането на разширението и следи активността на потребителя в реално време . Той може да записва кои страници са посетени, кои формуляри са попълнени и кои услуги са използвани, както и да прихваща чувствителна информация, като например идентификационни данни или токени за сесия. В някои случаи той също така изтегля допълнителни модули, които в крайна сметка отварят задна вратичка на засегнатия компютър , давайки на нападателите възможност за дистанционно свързване.
Чрез използване на стеганография, киберпрестъпниците могат да направят злонамереният компонент да остане сравнително незабелязан по време на автоматизирано сканиране на хранилищата с разширения. Системите за анализ обикновено проверяват видимия код и декларираното поведение , но може да не успеят да открият, че истинското ядро на атаката е скрито в едно просто изображение. Този подход увеличава трудността за платформите, които се опитват да ограничат разпространението на измамни добавки.
Освен това, добавките, свързани с GhostPoster, много наподобяват функциите на легитимните инструменти, на които твърдят, че приличат. Те предлагат например превод на страници или основно блокиране на реклами, засилвайки усещането за нормалност. Докато потребителят вярва, че използва полезно разширение, във фонов режим се генерира постоянен поток от информация към контролираните от нападателя сървъри.
Ролята на KOI и LayerX в откриването на кампанията
Разкриването на GhostPoster не се случи за една нощ. През декември анализатори от фирмата за сигурност KOI откриха първоначална група от 17 злонамерени разширения, публикувани в официалния магазин на Mozilla Firefox. Всички те бяха насочени към потребители, търсещи често срещани помощни програми, и общо имаха над 50 000 изтегляния.
Малко след това фирмата за киберсигурност LayerX продължи разследването си и откри друг пакет от 17 подобни добавки, разпространявани чрез каталозите на Microsoft Edge и Google Chrome. С тези нови открития общият брой инсталации, свързани с GhostPoster, скочи до над 840 000 в трите браузъра, което показва кампания със значително глобално въздействие.
Публикуваните доклади посочват, че всички тези разширения споделят много сходни поведенчески модели и технически структури, което води до заключението, че са част от една и съща координирана схема. Сред идентифицираните цели са наблюдение на активността при сърфиране в реално време, събиране на масови данни и тихо внедряване на задни врати в устройствата.
По време на анализа, KOI и LayerX подчертаха, че операция GhostPoster не е изолиран инцидент, а по-скоро доказателство за устойчива стратегия в продължение на няколко години за експлоатация на екосистемата от разширения за браузър. Изследователите подчертават, че комбинацията от голям обем инсталации и късно откриване е позволила на нападателите да поддържат кампаниите си с достатъчно пространство за маневриране.
Според експерти, самите производители на браузъри са изправени пред сложна задача: откриване на злонамерени инструменти, които имитират популярни услуги . Въпреки че съществуват автоматизирани контроли и процеси за преглед, опитът показва, че те не винаги са достатъчни, за да спрат разширения, които използват усъвършенствани тактики за скритост, като тези, наблюдавани в GhostPoster.
Кой стои зад това: групата Darkspectre и предишните им кампании
Разследването сочи към добре познат участник в областта на киберсигурността: Darkspectre . Тази група използва разширения за браузъри, за да разпространява зловреден софтуер от години и е отговорна за предишни операции като ShadyPanda и The Zoom Stealer, които споделят технически ресурси и инфраструктура с GhostPoster.
Според събраните данни, Darkspectre е усъвършенствал тактиките си с течение на времето. Предишни кампании вече са показвали особен интерес към проникване чрез привидно надеждни канали , като например официални магазини за аксесоари. GhostPoster, в този смисъл, би бил еволюция на стратегия, която се стреми да увеличи максимално обхвата, без да повдига незабавни червени флагове.
LayerX обяснява, че проследяването на инфраструктурата, използвана в GhostPoster, ShadyPanda и The Zoom Stealer, им е позволило да документират техническата еволюция на тези заплахи . Изследователите са наблюдавали как домейни, сървъри и фрагменти от код се използват повторно в различни атаки, адаптирайки инструментите към мерките за сигурност, внедрени от платформите.
Един от най-тревожните проблеми за фирмите за сигурност е, че някои разширения, свързани с Darkspectre, остават активни от 2020 г. насам, без да бъдат открити. Тази устойчивост подчертава както сложността на нападателите, така и ограниченията на автоматизираните системи за сканиране, които не винаги са в състояние да идентифицират злонамерени модели, когато те са скрити в необичайни компоненти, като например графични икони.
Докладите също така показват, че от оперативна гледна точка GhostPoster разчита на високотехнологични техники за избягване . Те включват забавено зареждане на компоненти, активиране само при специфични навигационни условия и използване на дискретна комуникация със сървъри за командване и контрол. Всичко това помага за намаляване на шума и запазване на невидимостта от радара възможно най-дълго.
Разширения, все по-често срещан вектор на атака
Освен GhostPoster, експертите отдавна предупреждават, че разширенията за браузър са повтаряща се цел на киберпрестъпниците . Тяхната популярност и доверието, което вдъхват, уж идващи от официални магазини, ги правят идеален канал за проникване на зловреден софтуер, без потребителят да подозира нищо.
В много случаи жертвите изтеглят тези добавки, защото обещават атрактивни и безплатни функции : премахване на натрапчиви реклами, подобряване на поверителността, ускоряване на браузъра или автоматизиране на повтарящи се задачи. Проблемът е, че след като разрешенията бъдат предоставени, разширението може да получи достъп до значително количество информация, без да е необходимо да иска отново разрешение.
Кампании като GhostPoster показват, че дори когато дадено разширение изпълнява някои от обещанията си, то може да извършва скрити дейности . С други думи, добавката може да блокира реклами или да превежда страници нормално, но едновременно с това да събира данни за сърфиране, да прихваща идентификационни данни или да комуникира с външни сървъри, за да изтегля нови инструкции.
Използването на техники като стеганография на изображения или изпълнението на обфускиран код значително усложнява задачата на анализа. Традиционните системи за сигурност са склонни да търсят известни модели , но когато злонамереният код е скрит в графични файлове или разпределен на малки части между различни компоненти, идентифицирането става много по-трудно.
Този сценарий принуждава както разработчиците на браузъри, така и магазините за разширения да засилят механизмите си за проверка . Експертите посочват, че ще е необходимо да се комбинират по-задълбочен автоматизиран анализ, ръчни одити и по-внимателно наблюдение на реалното поведение на разширенията след публикуването им, особено на тези, които постигат голям брой инсталации за кратък период.
Въздействие върху потребителите в Европа и основни препоръки
Кампанията GhostPoster има глобален обхват, но засяга и потребители в Испания и останалата част от Европа , където Chrome, Firefox и Edge са основните браузъри, използвани в домашна и професионална среда. Всеки, който е инсталирал разширения за превод, блокери на реклами или VPN през последните години, е можел да бъде изложен на риск, ако добавката е била в списъка със злонамерени програми.
Европейските власти и екипи за реагиране използват доклади от компании като KOI и LayerX, за да актуализират своите предупреждения и разпоредби за киберсигурност . Общата препоръка е редовно да се преглеждат инсталираните разширения и да се деинсталират всички, които вече не се използват или чийто произход е неясен. Не е необичайно да се натрупат добавки, които са били използвани веднъж и след това са били забравени, но които все още имат достъп до браузъра.
За да се намалят рисковете, експертите съветват да се дава приоритет на разширения, разработени от реномирани организации , да се проверяват потребителските оценки и потребителски бройки и да се внимава с решения, които обещават твърде много функции в един пакет. Препоръчително е също така да се прегледат заявените разрешения преди инсталиране, особено когато дадена добавка изисква пълен достъп до всички данни за сърфиране, без това да изглежда строго необходимо.
В бизнес света, където сърфирането често включва достъп до чувствителна информация и вътрешни услуги, европейските организации въвеждат специфични политики за контрол на това кои разширения могат да се използват на корпоративни компютри . Често срещани мерки включват създаване на бели списъци с разрешени добавки, централизирано наблюдение и използване на решения за сигурност, способни да проследяват активността на браузъра.
За отделни потребители, които подозират, че са инсталирали потенциално злонамерено разширение, експертите препоръчват премахването на добавката, сканиране с надеждна антивирусна програма и, ако съмненията продължават, консултация със специалист по киберсигурност. В сложни кампании като GhostPoster, простото деинсталиране на разширението може да не е достатъчно, ако в системата е инсталиран допълнителен зловреден софтуер.
Случаят с GhostPoster подчертава рисковете от сляпото доверие в официалните магазини за разширения . Въпреки че те остават най-безопасният канал срещу изтегляния от неизвестни уебсайтове, опитът показва, че не са безпогрешни и че нападателите могат да се адаптират към техните мерки за сигурност. Комбинацията от по-критично поведение на потребителите, по-строги процеси за преглед и непрекъснато наблюдение от страна на компаниите за сигурност ще бъде ключова за предотвратяване на подобни кампании в бъдеще.
