2,3 Milioni di Utenti Infettati da Estensioni Verificate di Chrome ed Edge

Una grave violazione della sicurezza dei browser ha esposto più di 2,3 milioni di utenti al malware, attraverso estensioni verificate di Chrome ed Edge che sembravano sicure.

Secondo una ricerca di Koi Security, 18 estensioni in una campagna denominata RedDirection hanno segretamente dirottato i browser, tracciato le attività degli utenti e abilitato ulteriori attacchi attraverso interfacce affidabili.

L’estensione principale responsabile della violazione della sicurezza era “Color Picker, Eyedropper – Geco colorpick”. L’estensione ha fornito la funzionalità promessa offrendo una funzione di selezione del colore completa. L’estensione funzionava come uno strumento di selezione del colore, ma in segreto tracciava tutti i siti web visitati dagli utenti, trasmetteva i dati dell’URL ai server di comando e controllo, e reindirizzava gli utenti verso siti web falsi.

“Non si tratta di qualche ovvia estensione truffaldina messa insieme in un weekend” hanno scritto i ricercatori.

“Questo è un cavallo di Troia sapientemente costruito che offre esattamente ciò che promette (un selettore di colori funzionale) mentre contemporaneamente dirotta il tuo browser, monitora ogni sito web che visiti e mantiene un backdoor di comando e controllo persistente. Non solo, ma è rimasto legittimo per anni prima di diventare malevolo attraverso un aggiornamento della versione”, hanno osservato i ricercatori.

Infatti, i ricercatori spiegano come queste estensioni fossero pulite per anni prima che un codice malevolo fosse aggiunto attraverso aggiornamenti silenziosi della versione, una mossa che ha sfruttato i sistemi di fiducia di Google e Microsoft, inclusi badge di verifica e posizionamenti in primo piano.

“Questa non è solo un’altra scoperta di malware,” hanno detto i ricercatori. “È la prova che l’attuale modello di sicurezza del mercato è fondamentalmente rotto,” ha aggiunto il team di ricerca.

La campagna RedDirection ha incluso popolari estensioni che funzionavano come tastiere emoji, controller di velocità video, proxy VPN e temi scuri, che apparivano e operavano come strumenti standard. Le estensioni operavano come una singola rete attraverso le loro identiche strutture di malware e server di comando, per rubare dettagli di accesso, informazioni bancarie e installare ulteriori malware.

Koi Security consiglia agli utenti di eliminare le estensioni non affidabili, mentre effettuano la pulizia dei dati del browser, la scansione di malware e il monitoraggio dell’account. La scoperta solleva dubbi sul processo di verifica delle estensioni di Chrome ed Edge, e sulla capacità degli utenti di fidarsi delle estensioni installate.

“Si tratta di un disastro nella catena di approvvigionamento”, hanno avvertito i ricercatori.