Avast предоставляет дополнительные сведения о вредоносных расширениях браузера

Вы были одним из несчастливых 3 миллионов пользователей, которые скачали вредоносные расширения браузера, обнаруженные в прошлом году? Google и Microsoft отключили их, но расширения все же нанесли некоторый ущерб. Безопасностная компания Avast предоставляет дополнительные сведения об этих расширениях браузера и о том, чем они занимались, чтобы обновить наш предыдущий отчет.

Намерения CacheFlow

Эти вредоносные расширения браузера были включены в кампанию, известную как CacheFlow, в конце 2020 года компанией Avast. Оба, Google и Microsoft, удалили угрозы к 18 декабря после уведомления о опасностях.

Расширения CacheFlow пытались скрыть трафик команд и управления, используя заголовок Cache-Control в HTTP-запросах аналитики. Считается, что это новая техника, замаскированная под трафик Google Analytics. Вместе с сокрытием вредоносной директивы Avast считает, что авторы вредоносных расширений также хотели получить доступ к запросам аналитики.

Большинство загрузок вредоносных расширений пришло из Бразилии, Украины и Франции. Avast впервые узнала о расширениях браузера через чешский блог, который следил за одним из расширений, и поняла, что это распространилось на несколько расширений.

Безопасностная компания также поняла, после реверс-инжиниринга обфусцированного javascript, что вместе с перенаправлением браузера хакеры также собирали данные пользователей, включая все их запросы в поисковых системах.

Хакеры были довольно хитрыми, чтобы избежать разоблачения. Им удалось избежать заражения пользователей, вероятно, веб-разработчиков, либо через расширения, либо узнав, посещал ли пользователь локально размещенные веб-сайты. Кроме того, вредоносная активность избегалась в течение трех дней после загрузки, чтобы не привлечь внимание к истинным злонамеренным намерениям хакеров. Расширения также деактивировались, если открывались инструменты разработчика браузера или пользователь искал в Google один из доменов вредоносного ПО.

Разоблачение расширений браузера

CacheFlow, однако, был активен в течение многих лет, как минимум с 2017 года. Он молча скрывался все это время благодаря своим скрытным усилиям. Если вам интересно узнать, как именно работал CacheFlow и как Avast его разоблачила, ознакомьтесь с блогом безопасности компании.

Avast предоставляет этот детальный обзор CacheFlow, потому что компания считает, что “понимание того, как работают эти технологии, поможет другим исследователям вредоносного ПО в обнаружении и анализе подобных тенденций в будущем.”

По аналогичным причинам я освещаю эту новость здесь. Мы не хотим, чтобы кто-либо стал жертвой этого, и чем больше все знают о том, на что способны хакеры, тем меньше они смогут избежать наказания.

Киберпреступники повсюду. Оставаться в курсе их деятельности требует постоянного внимания. Посмотрите, как тенденция работы из дома привела к увеличению кибератак и фальшивых приложений для совместной работы.