Über 100 Chrome Web Store-Erweiterungen stehlen Benutzerkonten und Daten!
Mehr als 100 bösartige Erweiterungen im offiziellen Chrome Web Store versuchen, Google OAuth2 Bearer-Token zu stehlen, Hintertüren einzubauen und Anzeigenbetrug zu begehen.
Forscher des Anwendungssicherheitsunternehmens Socket entdeckten, dass die bösartigen Erweiterungen Teil einer koordinierten Kampagne sind, die dieselbe Command-and-Control-Infrastruktur (C2) nutzt.
Der Bedrohungsakteur veröffentlichte die Erweiterungen unter fünf verschiedenen Herausgeberidentitäten in mehreren Kategorien: Telegram-Sidebar-Clients, Spielautomaten- und Keno-Spiele, YouTube- und TikTok-Erweiterungen, ein Textübersetzungstool und Hilfsprogramme.
Den Forschern zufolge nutzt die Kampagne ein zentrales Backend, das auf einem Contabo VPS gehostet wird, wobei mehrere Subdomains für Session Hijacking, Identitätssammlung, Befehlsausführung und Monetarisierungsvorgänge zuständig sind.
Socket hat Hinweise auf einen russischen Malware-as-a-Service (MaaS)-Betrieb gefunden, basierend auf Kommentaren im Code zur Authentifizierung und zum Sitzungsdiebstahl…!
Daten sammeln und Konten kapern:
Der größte Cluster, bestehend aus 78 Erweiterungen, injiziert vom Angreifer kontrollierten HTML-Code über die Eigenschaft „innerHTML“ in die Benutzeroberfläche.
Die zweitgrößte Gruppe mit 54 Erweiterungen verwendet ‚chrome.identity.getAuthToken‘, um die E-Mail-Adresse, den Namen, das Profilbild und die Google-Konto-ID des Opfers zu sammeln.
Sie stehlen außerdem das Google OAuth2 Bearer-Token, ein kurzlebiges Zugriffstoken, das Anwendungen den Zugriff auf die Daten eines Benutzers oder das Handeln in dessen Namen ermöglicht.
Eine dritte Gruppe von 45 Erweiterungen enthält eine versteckte Funktion, die beim Browserstart ausgeführt wird und als Hintertür fungiert, um Befehle vom C2-Server abzurufen und beliebige URLs zu öffnen. Diese Funktion erfordert keine Interaktion des Benutzers mit der Erweiterung.
Eine von Socket als „die schwerwiegendste“ bezeichnete Erweiterung stiehlt alle 15 Sekunden Telegram-Web-Sitzungen, extrahiert Sitzungsdaten aus dem ‚localStorage‘ und das Sitzungstoken für Telegram Web und sendet die Informationen an den C2-Server.
„Die Erweiterung verarbeitet auch eine eingehende Nachricht (set_session_changed), die die umgekehrte Operation ausführt: Sie löscht den localStorage des Opfers, überschreibt ihn mit vom Bedrohungsakteur bereitgestellten Sitzungsdaten und erzwingt einen Neustart von Telegram“, beschreibt Socket .
„Dadurch kann der Angreifer den Browser eines beliebigen Opfers ohne dessen Wissen auf ein anderes Telegram-Konto umleiten.“
Die Forscher entdeckten außerdem drei Erweiterungen, die Sicherheitsheader entfernen und Werbung in YouTube und TikTok einblenden, eine, die Übersetzungsanfragen über einen bösartigen Server umleitet, und eine nicht aktive Telegram-Erweiterung zum Sitzungsdiebstahl, die eine inszenierte Infrastruktur nutzt.
Socket hat Google über die Kampagne informiert, weist aber darauf hin, dass zum Zeitpunkt der Veröffentlichung des Berichts alle schädlichen Erweiterungen noch im Chrome Web Store verfügbar sind.
BleepingComputer bestätigt, dass viele der in Sockets Bericht aufgeführten Erweiterungen zum Zeitpunkt der Veröffentlichung weiterhin verfügbar sind. Sie haben zwar Google um eine Stellungnahme gebeten, aber noch keine Antwort erhalten.
Den Benutzern wird empfohlen, ihre installierten Erweiterungen mit den veröffentlichten Socket-IDs abzugleichen und alle Treffer umgehend zu deinstallieren!!
Vergleichsdaten von Socket (siehe Seite unten) → https://socket.dev/blog/108-chrome-ext-linked-to-data-exfil-session-theft-shared-c2