Brauserilaiendustest on saanud igapäevane tööriist miljonitele kasutajatele, kes soovivad oma Chrome'i, Firefoxi või Edge'i kogemust täiustada . Need saavad tõlkida veebilehti, blokeerida reklaame, hallata paroole või kiirendada sirvimist ning need installitakse tavaliselt ametlikest rakenduste poodidest vaid paari klõpsuga. Just selle mugavuse tõttu kontrollivad paljud inimesed harva, kes iga lisandmooduli taga on või milliseid õigusi see taotleb.
See möödalaskmine avab küberkurjategijatele ukse laienduste kasutamiseks vaikse kanalina andmete nuhkimiseks ja varastamiseks . Hiljutine kampaania nimega GhostPoster on selgelt näidanud, kui ohtlik see vektor on: petturlikud laiendused integreeruvad justkui oleksid nad õigustatud, toimivad näiliselt normaalselt ja võivad jääda aktiivseks aastaid ilma kahtlust tekitamata, jälgides samal ajal kasutajate tegevust.
Mis on GhostPosteri kampaania ja miks see murettekitav on?
Mitmete küberturbefirmade, sealhulgas KOI ja LayerX-i uurimised on paljastanud ulatusliku operatsiooni, mis kasutab ära Mozilla Firefoxi, Google Chrome'i ja Microsoft Edge'i ametlikke laienduste poode. GhostPosteri kampaania raames on tuvastatud kümneid lisandmooduleid, mis kokku ületavad 840 000 installi kogu maailmas – see arv illustreerib probleemi ulatust.
Need pahatahtlikud laiendused teesklevad end igapäevaste tööriistadena: lehe tõlkijad, reklaamiblokeerijad, väidetavad VPN-id või allalaadimiste haldamise utiliidid. Pärast installimist töötavad need taustal, jälgides ohvri brauseritegevust, pääsedes juurde sirvimisandmetele ja mõnel juhul lubades tagauksi, mis võimaldavad arvutit kaugjuhtimisega juhtida.
Eriti murettekitav on see, et paljud neist laiendustest on ametlikes kataloogides juba pikka aega saadaval olnud, mis tähendab, et need on läbinud Chrome'i veebipoe, Firefoxi lisandmoodulite ja Edge'i poe arvustuste filtrid . Avaldatud analüüside kohaselt on mõned neist toiminud alates 2020. aastast, mis võimaldab kampaanial pidevalt ja suuremate häireteta aktiivsena püsida.
GhostPosteri sees on eksperdid tuvastanud ka keerukama ja kergesti hajutatavama variandi , mis on iseseisvalt saavutanud üle 3.800 installi. See haru paistab silma oma võime poolest mööda hiilida juhtelementidest ja sulanduda pealtnäha legitiimsete laiendustega, muutes kasutajatel veelgi raskemaks aru saada, et midagi on valesti.
Kuidas GhostPosteri taga olevad pahatahtlikud laiendused töötavad
Brauserilaiendused, olgu need siis Chrome'i, Firefoxi või Edge'i jaoks, on tarkvaraga sügavalt integreeritud ning saavad lugeda ja muuta veebilehtede sisu , juurde pääseda küpsistele ja sirvimisajaloole ning mõnel juhul suhelda operatsioonisüsteemiga. Kui laiendus on hästi disainitud, pakub see kõik kasulikke funktsioone; kui see on pahatahtlik, muutub seesama juurdepääs ründajate täppisrelvaks.
GhostPosteri puhul peitub võti pahatahtliku komponendi hoolikas varjamises. Juurdlused näitavad, et kampaania eest vastutavad isikud peidavad osa JavaScripti koodist laienduse ikooni PNG-pildi sisse . See tehnika, mida tuntakse steganograafiana, võimaldab varjata teavet pealtnäha süütutes failides, nii et esmapilgul on nähtav ainult tavaline logo, kuid sees peitub kood, mis hiljem käivitatakse.
See peidetud kood aktiveerub pärast laienduse installimist ja jälgib kasutaja tegevust reaalajas . See suudab salvestada, milliseid lehti külastatakse, milliseid vorme täidetakse ja milliseid teenuseid kasutatakse, samuti pealt kuulata tundlikku teavet, näiteks volitusi või seansi märke. Mõnel juhul laadib see alla ka täiendavaid mooduleid, mis avavad mõjutatud arvutis tagaukse , andes ründajatele võimaluse kaugühenduse luua.
Steganograafia abil saavad küberkurjategijad muuta pahatahtliku komponendi laienduste salvestuskohtade automaatse skaneerimise käigus suhteliselt avastamata. Analüüsisüsteemid kontrollivad tavaliselt nähtavat koodi ja deklareeritud käitumist , kuid ei pruugi tuvastada, et rünnaku tegelik tuum on peidetud lihtsa pildi sisse. See lähenemisviis suurendab platvormide jaoks raskusi petturlike lisandmoodulite leviku piiramisel.
Lisaks matkivad GhostPosteriga lingitud lisandmoodulid täpselt nende legitiimsete tööriistade funktsioone, millele nad väidetavalt sarnanevad. Need pakuvad näiteks lehe tõlkimist või elementaarset reklaamide blokeerimist, tugevdades normaalsuse tunnet. Kuigi kasutaja usub, et ta kasutab kasulikku laiendust, genereeritakse taustal ründaja kontrollitavatele serveritele pidevalt infot.
KOI ja LayerXi roll kampaania avastamisel
GhostPosteri paljastamine ei toimunud üleöö. Detsembris tuvastasid turvafirma KOI analüütikud Mozilla Firefoxi ametlikus poes 17 pahatahtlikust laiendusest koosneva esialgse grupi. Kõik need olid suunatud kasutajatele, kes otsisid tavalisi utiliite, ja kokku oli neid alla laaditud üle 50 000 korra.
Varsti pärast seda jätkas küberturbefirma LayerX uurimist ja leidis veel ühe 17 sarnase lisandmooduli paketi, mida levitati Microsoft Edge'i ja Google Chrome'i kataloogide kaudu. Nende uute avastustega tõusis GhostPosteriga seotud installide koguarv kolmes brauseris üle 840 000, mis viitab märkimisväärse globaalse mõjuga kampaaniale.
Avaldatud aruannetes kirjeldatakse üksikasjalikult, et kõigil neil laiendustel olid väga sarnased käitumismustrid ja tehnilised struktuurid, mis viis järeldusele, et need olid osa samast koordineeritud skeemist. Tuvastatud eesmärkide hulgas olid sirvimisaktiivsuse jälgimine reaalajas, massiline andmete kogumine ja tagauste vaikne sisestamine seadmetesse.
Analüüsi käigus rõhutasid KOI ja LayerX, et Operation GhostPoster ei ole üksikjuhtum, vaid pigem tõend mitme aasta pikkusest järjepidevast strateegiast brauserilaienduste ökosüsteemi ärakasutamiseks. Teadlased rõhutavad, et suure hulga installide ja hilise avastamise kombinatsioon on võimaldanud ründajatel oma kampaaniaid jätkata, andes neile piisavalt manööverdamisruumi.
Ekspertide sõnul seisavad brauseritootjad ise silmitsi keerulise ülesandega: tuvastada pahatahtlikke tööriistu, mis matkivad populaarseid teenuseid . Kuigi automatiseeritud kontrollid ja ülevaatusprotsessid on olemas, näitab kogemus, et need ei ole alati piisavad, et peatada laiendusi, mis kasutavad täiustatud varjatud taktikaid, nagu näiteks GhostPosteris nähtud.
Kes selle taga on: Darkspectre'i grupp ja nende varasemad kampaaniad
Uurimine viitab küberturvalisuse valdkonnas tuntud tegutsejale: Darkspectre . See rühmitus on aastaid kasutanud brauserilaiendeid pahavara levitamiseks ning neile omistatakse varasemaid operatsioone, nagu ShadyPanda ja The Zoom Stealer, mis jagavad tehnilisi ressursse ja infrastruktuuri GhostPosteriga.
Kogutud andmete kohaselt on Darkspectre oma taktikat aja jooksul täiustanud. Varasemad kampaaniad näitasid juba erilist huvi imbumise vastu pealtnäha usaldusväärsete kanalite , näiteks ametlike aksessuaaride poodide kaudu. Selles mõttes oleks GhostPoster strateegia edasiarendus, mille eesmärk on maksimeerida ulatust ilma koheseid ohumärke tekitamata.
LayerX selgitab, et GhostPosteri, ShadyPanda ja The Zoom Stealeri kasutatava infrastruktuuri jälgimine on võimaldanud neil dokumenteerida nende ohtude tehnilist arengut . Teadlased on jälginud, kuidas domeene, servereid ja koodijuppe erinevates rünnakutes taaskasutatakse, kohandades tööriistu platvormide rakendatud turvameetmetega.
Turvafirmade jaoks on üks murettekitavamaid probleeme see, et mõned Darkspectre'iga seotud laiendused on alates 2020. aastast aktiivsed olnud ja neid pole tuvastatud. See püsivus rõhutab nii ründajate keerukust kui ka automatiseeritud skaneerimissüsteemide piiranguid, mis ei suuda alati tuvastada pahatahtlikke mustreid, kui need on peidetud ebatavalistesse komponentidesse, näiteks graafilistesse ikoonidesse.
Aruanded näitavad ka, et operatiivsest vaatenurgast tugineb GhostPoster ülimalt keerukatele kõrvalehoidumistehnikatele . Nende hulka kuuluvad komponentide laadimise viivitus, aktiveerimine ainult teatud navigatsioonitingimustes ja diskreetse side kasutamine juhtimis- ja kontrollserveritega. Kõik see aitab vähendada müra ja püsida radarilt eemal nii kaua kui võimalik.
Laiendused, üha tavalisem rünnakuvektor
Lisaks GhostPosterile on eksperdid juba ammu hoiatanud, et brauserilaiendused on küberkurjategijate korduv sihtmärk . Nende populaarsus ja usaldus, mida nad tekitavad, väidetavalt pärinevad ametlikest poodidest, muudavad need ideaalseks kanaliks pahavara salajaseks levitamiseks ilma, et kasutaja midagi kahtlustaks.
Paljudel juhtudel laadivad ohvrid need lisandmoodulid alla seetõttu, et need lubavad atraktiivseid ja tasuta funktsioone : pealetükkivate reklaamide eemaldamist, privaatsuse parandamist, brauseri kiirendamist või korduvate toimingute automatiseerimist. Probleem on selles, et kui load on antud, pääseb laiendus juurde märkimisväärsele hulgale teabele ilma, et peaks uuesti autoriseerimist küsima.
Sellised kampaaniad nagu GhostPoster näitavad, et isegi kui laiendus täidab mõningaid oma lubadusi, võib see teha varjatud tegevusi . Teisisõnu, lisandmoodul võib blokeerida reklaame või tõlkida lehti tavapäraselt, kuid samal ajal koguda sirvimisandmeid, pealt kuulata mandaate või suhelda väliste serveritega uute juhiste allalaadimiseks.
Selliste tehnikate kasutamine nagu piltide steganograafia või hägustatud koodi käivitamine muudab analüüsi ülesande oluliselt keerulisemaks. Traditsioonilised turvasüsteemid kipuvad otsima teadaolevaid mustreid , kuid kui pahatahtlik kood on peidetud graafikafailidesse või jaotatud väikeste tükkidena erinevate komponentide vahel, muutub tuvastamine palju raskemaks.
See stsenaarium sunnib nii brauseriarendajaid kui ka laienduste poode oma kontrollimehhanisme tugevdama . Eksperdid juhivad tähelepanu sellele, et pärast avaldamist on vaja kombineerida põhjalikumat automatiseeritud analüüsi, käsitsi auditeid ja laienduste tegeliku käitumise hoolikamat jälgimist, eriti nende puhul, mis saavutavad lühikese aja jooksul suure hulga installimisi.
Mõju Euroopa kasutajatele ja põhisoovitused
GhostPosteri kampaanial on globaalne ulatus, kuid see mõjutab ka kasutajaid Hispaanias ja mujal Euroopas , kus Chrome, Firefox ja Edge moodustavad peaaegu kogu brauserikasutuse kodu- ja töökeskkonnas. Igaüks, kes on viimastel aastatel installinud tõlkelaiendeid, reklaamiblokeerijaid või VPN-e, oleks võinud nakatuda, kui lisandmoodul oleks pahatahtlike programmide nimekirjas olnud.
Euroopa ametivõimud ja reageerimismeeskonnad kasutavad oma küberturvalisuse hoiatuste ja eeskirjade ajakohastamiseks selliste ettevõtete nagu KOI ja LayerX aruandeid . Üldine soovitus on installitud laiendusi regulaarselt üle vaadata ja desinstallida kõik, mida enam ei kasutata või mille päritolu on ebaselge. Pole haruldane koguneda lisandmooduleid, mida kasutati üks kord ja seejärel unustati, kuid millel on endiselt juurdepääs brauserile.
Riskide vähendamiseks soovitavad eksperdid eelistada usaldusväärsete ettevõtete loodud laiendusi , kontrollida kasutajate hinnanguid ja kasutajate arvu ning olla ettevaatlik lahenduste suhtes, mis lubavad ühes paketis liiga palju funktsioone. Samuti on soovitatav enne installimist üle vaadata taotletud õigused, eriti kui lisandmoodul küsib täielikku juurdepääsu kõigile sirvimisandmetele, ilma et see tunduks hädavajalik.
Ärimaailmas, kus sirvimine hõlmab sageli juurdepääsu tundlikule teabele ja sisemistele teenustele, rakendavad Euroopa organisatsioonid spetsiifilisi poliitikaid, et kontrollida, milliseid laiendusi saab ettevõtte arvutites kasutada . Levinud meetmete hulka kuuluvad lubatud lisandmoodulite valgete nimekirjade loomine, tsentraliseeritud jälgimine ja brauseritegevust jälgivate turvalahenduste kasutamine.
Üksikkasutajatele, kes kahtlustavad potentsiaalselt pahatahtliku laienduse installimist, soovitavad eksperdid lisandmooduli eemaldada, käivitada skannimise usaldusväärse viirusetõrjeprogrammiga ja kui kahtlused püsivad, konsulteerida küberturvalisuse spetsialistiga. Keerulistes kampaaniates nagu GhostPoster ei pruugi laienduse desinstallimine olla piisav, kui süsteemi on installitud täiendavat pahavara.
GhostPosteri juhtum toob esile riskid, mis kaasnevad ametlike laienduspoodide pimesi usaldamisega . Kuigi need jäävad tundmatutelt veebisaitidelt allalaadimiste eest kaitsmise kõige turvalisemaks kanaliks, näitab kogemus, et need pole eksimatud ja ründajad saavad nende turvameetmetega kohaneda. Kriitilisema kasutajakäitumise, rangemate läbivaatamisprotsesside ja turvafirmade pideva jälgimise kombinatsioon on tulevikus sarnaste kampaaniate ärahoidmise võtmeks.
