Microsoft usunął 119 złośliwych rozszerzeń ze sklepu Edge Add-ons po wykryciu długotrwałej operacji, którą nazywa StegoAd.
Kampania wykorzystywała rozszerzenia przeglądarki, które wyglądały na przydatne i legalne: blokery reklam, VPN-y, tłumacze, programy do pobierania wideo i inne codzienne narzędzia. Wiele z nich działało zgodnie z obietnicami i zbierało pozytywne opinie, dzięki czemu przez lata cieszyły się zaufaniem.
Pod powierzchnią rozszerzenia te wykorzystywały jednak steganografię, by ukryć złośliwy kod w zwyczajnie wyglądających plikach obrazów i czcionek. Po aktywacji mogły kraść dane uwierzytelniające, przejmować sesje, wstrzykiwać reklamy, przekierowywać wyszukiwania i wspierać oszustwa afiliacyjne.
Według publicznych doniesień o ustaleniach Microsoftu operacja mogła dotrzeć do nawet 2,6 mln instalacji, choć Microsoft traktuje tę liczbę jako górną granicę, a nie potwierdzoną liczbę ofiar.
Czym jest StegoAd?
Nazwa StegoAd łączy dwa pojęcia: steganografię i adware.
Steganografia to sztuka ukrywania danych w czymś, co wygląda niegroźnie. W tym przypadku złośliwy kod ukryto w plikach, które wyglądały na zwykłe zasoby rozszerzenia przeglądarki, takie jak ikony, obrazy i czcionki.
Utrudniało to wykrycie rozszerzeń za pomocą skanowania statycznego.
Dla użytkowników rozszerzenia wyglądały zwyczajnie. Dla narzędzi bezpieczeństwa pliki często przypominały normalne zasoby PNG, WebP lub WOFF2. Wewnątrz tych plików krył się jednak kod, który mógł zostać zdekodowany i uruchomiony później.
To właśnie odróżniało StegoAd od wielu prostszych kampanii ze złośliwymi rozszerzeniami.
Nie polegał wyłącznie na oczywistym złośliwym kodzie JavaScript. Ukrywał ładunki w plikach takiego rodzaju, jakie zawiera każde rozszerzenie.
Jak rozszerzenia pozostawały w ukryciu
Microsoft twierdzi, że sprawca zastosował wiele warstw technik unikania wykrycia.
Rozszerzenia nie aktywowały się od razu po instalacji. Niektóre czekały kilka dni, zanim uruchomiły złośliwe działanie.
To opóźnienie pomagało im uniknąć szybkiej weryfikacji w sklepie, analizy w piaskownicy i natychmiastowych podejrzeń użytkowników.
Niektóre warianty stosowały również walidację po stronie serwera i bramki wykonania. W pewnych przypadkach aktywny ładunek otrzymywał tylko określony odsetek instalacji.
Oznacza to, że wiele instalacji mogło nigdy nie uruchomić pełnego złośliwego łańcucha.
Rozszerzenia sprawdzały też oznaki analizy, w tym otwarte narzędzia deweloperskie. Jeśli podejrzewały, że są badane, mogły wydłużyć okres uśpienia albo nie dostarczać prawdziwego ładunku.
Dzięki temu operacja mogła długo pozostawać aktywna, ukrywając się na widoku.
Kod ukryty w obrazach i czcionkach
Znakiem rozpoznawczym kampanii było ukrywanie kodu wykonywalnego w zwykłych zasobach rozszerzeń.
Wczesne warianty miały dołączać kod JavaScript za znacznikiem IEND w plikach obrazów PNG. Obraz nadal wyświetlał się normalnie, ale za właściwymi danymi graficznymi krył się ukryty ładunek.
Gdy wykrywanie się poprawiło, sprawca zmienił techniki.
Późniejsze warianty wykorzystywały obrazy WebP i pliki czcionek WOFF2, ukrywając kod w obszarach przypominających dane glifów, zakresy znaków azjatyckich lub metadane czcionek.
Niektóre warianty o dużym wpływie w ogóle nie zawierały pełnego ładunku w samym rozszerzeniu.
Zamiast tego pobierały z serwera dowodzenia i kontroli (C2) normalnie wyglądający obraz. Rozszerzenie dekodowało go następnie w kilku warstwach przekształceń, w tym zamianie wielkości liter, zamianie cyfr, Base64 i XOR, po czym weryfikowało podpis i uruchamiało ładunek.
Serwer C2 przeprowadzał też kontrole, zanim wydał prawdziwy ładunek. Żądania, które nie przeszły weryfikacji odcisku palca lub nagłówka User-Agent, otrzymywały puste lub zmyłkowe odpowiedzi.
Utrudniało to badaczom bezpośrednie sondowanie serwera.
Oszustwa reklamowe na powierzchni
Najbardziej widoczną częścią StegoAd były oszustwa reklamowe.
Rozszerzenia mogły:
- wstrzykiwać niechciane reklamy
- przekierowywać wyszukiwania
- przechwytywać prowizje afiliacyjne
- manipulować ścieżkami przeglądania w sklepach internetowych
- pogarszać komfort przeglądania
Celem były duże platformy, takie jak Amazon, eBay i AliExpress.
Taki sposób monetyzacji jest powszechny w kampaniach ze złośliwymi rozszerzeniami, ponieważ pozwala po cichu generować przychody w dłuższym czasie.
Użytkownik może zauważyć dodatkowe reklamy lub dziwne przekierowania, ale nie musi od razu powiązać tego zachowania z rozszerzeniem przeglądarki.
Kradzież danych uwierzytelniających pod spodem
Analiza Microsoftu wykazała, że kampania wykraczała poza oszustwa reklamowe.
Pobierane ładunki zawierały funkcje kradzieży danych uwierzytelniających i przejmowania sesji.
Zgodnie ze szczegółami raportu ładunki mogły:
- kraść dane logowania do Google podczas logowania
- przechwytywać kody drugiego składnika
- zbierać dane logowania administratorów WordPressa
- masowo eksfiltrować pliki cookie
- wspierać przejmowanie sesji
- uruchamiać dowolny kod JavaScript z serwera
To zmienia wagę kampanii.
To, co wygląda na irytujące adware, może przerodzić się w przejęcie konta, kradzież tożsamości lub zagrożenie dla firmy.
Dla organizacji złośliwe rozszerzenie przeglądarki może stać się poważnym zagrożeniem dla stacji roboczej, zwłaszcza jeśli użytkownicy korzystają w tej samej przeglądarce z aplikacji chmurowych, paneli administracyjnych, poczty lub narzędzi wewnętrznych.
Nadużywanie legalnej infrastruktury
StegoAd wykorzystywał także legalną infrastrukturę, by wtopić się w tło.
Według doniesień Microsoft zidentyfikował ponad dziesięć domen dowodzenia i kontroli z automatycznym przełączaniem awaryjnym. Sprawca używał również Cloudflare Workers jako serwerów proxy i nadużywał GitHub Pages do hostowania beaconów.
Operacja wykorzystywała też identyfikatory śledzenia Google Analytics jako ukrytą telemetrię, dając operatorowi niemal natychmiastowy wgląd w kampanię za pośrednictwem własnej infrastruktury Google.
Jest to coraz powszechniejszy wzorzec.
Atakujący używają zaufanych platform nie tylko do hostowania treści, ale także po to, by złośliwy ruch trudniej było zablokować bez zakłócania normalnej działalności firm.
Zbudowany do adaptacji
StegoAd nie był krótkotrwałą kampanią.
Microsoft powiązał operację z jednym podmiotem zagrożeń aktywnym co najmniej od 2021 roku i znalazł dowody na ciągłe dostosowywanie się.
Operacja miała wykorzystywać polimorficzny framework w około 66 rozszerzeniach z ponad 15 wariantami nazw.
Przeszła również z Manifestu V2 na Manifest V3 wraz ze zmianami zasad platformy rozszerzeń przeglądarek.
Ma to znaczenie, ponieważ pokazuje, że operator nie wgrywał po prostu jednorazowych rozszerzeń.
Utrzymywał cały ekosystem.
Dostosowywał się do zmian na platformie, ulepszał techniki unikania wykrycia, rotował infrastrukturę i podtrzymywał kampanię pod wieloma tożsamościami rozszerzeń.
Możliwy związek z DarkSpectre
Kampania może się pokrywać z wcześniejszą aktywnością złośliwych rozszerzeń.
Ładunek kradnący dane uwierzytelniające miał eksfiltrować dane do domeny mitarchive.info, którą Koi Security wcześniej powiązało z DarkSpectre, chińską operacją łączoną z kampaniami rozszerzeń ShadyPanda i GhostPoster.
Istnieją też podobieństwa techniczne.
StegoAd ukrywał kod w ikonie rozszerzenia, a technikę tę miał stosować GhostPoster kilka miesięcy wcześniej. Niektóre nazwy rozszerzeń również się pokrywały, w tym Ads Block Ultimate.
Microsoft nie wskazał publicznie sprawcy, ale te zbieżności sugerują, że StegoAd może być częścią szerszego ekosystemu złośliwych rozszerzeń, a nie odosobnionym incydentem.
Co powinni zrobić użytkownicy
Microsoft informuje, że wszystkie 119 rozszerzeń usunięto, a powiązane konta deweloperskie zawieszono.
Mimo to użytkownicy powinni sprawdzić swoje przeglądarki.
Zalecane kroki:
- otwórz
edge://extensions - porównaj zainstalowane rozszerzenia z opublikowaną przez Microsoft listą
- usuń wszystkie pasujące lub podejrzane rozszerzenia
- sprawdź, czy Edge nie usunął czegoś automatycznie
- zmień hasła do ważnych kont
- przejrzyj ostatnią aktywność logowania
- wyczyść podejrzane sesje
- włącz silne uwierzytelnianie dwuskładnikowe
- w przypadku ważnych kont wybieraj sprzętowe klucze bezpieczeństwa
Szczególną uwagę warto zwrócić na konta Google, WordPress, bankowe, pocztowe i inne wrażliwe.
Jeśli złośliwe rozszerzenie miało dostęp do plików cookie lub danych uwierzytelniających, samo jego usunięcie może nie wystarczyć.
Co powinny zrobić organizacje
Dla zespołów bezpieczeństwa StegoAd jest kolejnym przypomnieniem, że rozszerzenia przeglądarek są częścią powierzchni ataku.
Organizacje powinny rozważyć:
- dopuszczanie wyłącznie zatwierdzonych rozszerzeń
- blokowanie instalacji niezarządzanych rozszerzeń
- przeglądanie uprawnień rozszerzeń
- monitorowanie zmian w zainstalowanych rozszerzeniach
- sprawdzanie podejrzanych domen C2 i wskaźników naruszenia bezpieczeństwa
- obserwowanie nietypowych przekierowań w przeglądarce
- wykrywanie wstrzykiwanych reklam i przechwytywania prowizji afiliacyjnych
- przeglądanie wskaźników kradzieży plików cookie i przejmowania sesji
- monitorowanie dostępu do wrażliwych aplikacji po usunięciu rozszerzenia
- egzekwowanie uwierzytelniania odpornego na phishing
Zespoły bezpieczeństwa powinny także traktować sklepy z rozszerzeniami jako użyteczne, ale niedoskonałe granice zaufania.
To, że rozszerzenie jest dostępne w sklepie, nie oznacza, że jest bezpieczne na zawsze.
Podsumowanie
StegoAd pokazuje, jak dojrzałe stały się operacje ze złośliwymi rozszerzeniami przeglądarek.
Kampania łączyła zwyczajnie wyglądające narzędzia, opóźnione wykonanie, steganografię, unikanie wykrycia po stronie serwera, oszustwa reklamowe, kradzież danych uwierzytelniających, eksfiltrację plików cookie, nadużycia chmury i długoterminowe zarządzanie infrastrukturą.
W rezultacie kampania mogła przez lata funkcjonować w zaufanym sklepie z rozszerzeniami przeglądarki, ukrywając swoje prawdziwe działanie.
Wniosek jest jasny: rozszerzenia przeglądarki należy traktować jak zainstalowane oprogramowanie z realnym dostępem do danych użytkownika.
Jeśli rozszerzenie potrafi odczytywać strony, modyfikować ruch, wstrzykiwać skrypty lub kontrolować zachowanie przeglądarki, może stać się czymś znacznie większym niż tylko wygodnym dodatkiem.
