Prejšnji mesec so raziskovalci na Varnost koijev objavil podrobno analizo zlonamerne razširitve za Firefox, ki so jo poimenovali GhostPoster – zlonamerna programska oprema, ki temelji na brskalniku in uporablja nenavaden in prikrit način dostave koristnih podatkov: steganografija znotraj datoteke ikon PNGTa inovativen pristop je zlonamerni programski opremi omogočil, da se je izognila tradicionalnim varnostnim pregledom razširitev in orodjem za statično analizo.

Po njihovi objavi je naša preiskava ugotovila 17 dodatnih razširitev povezane z isto infrastrukturo ter taktikami, tehnikami in postopki (TTP). Te razširitve so bile skupaj prenesene več kot 840,000-krat, nekateri pa ostajajo aktivni v divjini že do pet let.

Tehnični pregled: Večstopenjsko izogibanje in dostava koristnega tovora

Zlonamerna programska oprema GhostPoster uporablja večstopenjsko verigo okužb, zasnovano za prikritost in vztrajnost:

1. Kodiranje koristnega tovoraZačetni nalagalnik je vdelan v binarne podatke ikone PNG razširitve.
2. Ekstrakcija med izvajanjemOb namestitvi razširitev razčleni ikono, da izvleče skrite podatke, kar odstopa od tipične logike razširitve.
3. Zakasnjena aktivacijaZlonamerna programska oprema zakasni izvajanje za 48 ure ali večin komunikacijo C2 sproži le pod določenimi pogoji.
4. Pridobivanje koristnega tovoraIzvlečeni nalagalnik se poveže z oddaljenim strežnikom C2, da prenese dodatne koristne tovore, ki temeljijo na JavaScriptu.
   

Po aktivaciji je zlonamerna programska oprema sposobna:

• Odstranjevanje in vstavljanje glav HTTP oslabiti politike spletne varnosti (npr. CSP, HSTS).
• Ugrabitev partnerskega prometa za monetizacijo.
• Vstavljanje okvirjev iframe in skriptov za goljufije s kliki in sledenje uporabnikom.
• Programsko reševanje CAPTCHA in vbrizgavanje dodatnih zlonamernih skriptov za razširjen nadzor.
  

Te značilnosti kažejo, da kampanja ni le finančno motivirana, temveč tudi tehnično zrela, s poudarkom na operativni prikritosti in dolgoživosti.

Pripisovanje infrastrukture in groženj

Infrastruktura, ki jo je odkrila družba Koi Security, je bila povezana s 17 razširitvami za Firefox, ki imajo vse podobne vzorce zakrivanja, vedenje C2 in strategije zakasnjenega izvajanja. Naša avtomatizirana funkcija laboratorija za zlonamerno programsko opremo za razširitve je potrdila, da je bila ista infrastruktura akterjev grožnje uporabljena tudi za distribucijo razširitev na Trgovina z dodatki za Google Chrome in Microsoft EdgeNaša analiza kaže, da je kampanja izvira iz brskalnika Microsoft Edge, s kasnejšo razširitvijo na Firefox in Chrome.

Slika 1. Nalaganje GhostPosterja v trgovine z razširitvami brskalnika

Ključne ugotovitve:

• 17 potrjenih podaljšanj, s prekrivanjem infrastrukture in skupnimi vzorci nalagalnikov.
• Več kot dodatnih 840,000 skupnih namestitev v brskalnikih Firefox, Chrome in Edge.
• Zlonamerna prisotnost, ki sega v leto 2020, kar kaže na dolgoročni operativni uspeh, saj je zaobšel vse varnostne preglede glavnih trgovin brskalnikov.
• Različice, ki uporabljajo alternativne mehanizme dostave, kar kaže na nenehno eksperimentiranje in prilagajanje.

Razširjena analiza variant: Razporeditev koristnega tovora na podlagi skriptov v ozadju

Poleg prej identificiranih razširitev smo opazili še bolj sofisticirano in izmikajočo se različico, povezano z isto kampanjo, ki je sama po sebi predstavljala 3,822 namestitev. 

Slika 2. Razširitev za Firefox, ki je na voljo za prenos v trgovini.

V tej iteraciji je zlonamerna logika vdelana v skript v ozadju in izkorišča slikovno datoteko, ki je vgrajena v razširitev, kot prikrito posodo koristnega tovora. Med izvajanjem skript v ozadju pridobi sliko in pregleda njeno surovo zaporedje bajtov za ločilo. [62,62,62,62] – ustreza nizu ASCII '>>>>'Vsi podatki, ki sledijo tej označevalci, so dekodirani kot besedilo in trajno shranjeni v chrome.storage.local pod ključem instlogo.

Slika 3. Branje vsebine .png, dekodiranje in shranjevanje v lokalni pomnilnik.

Shranjeni podatki se kasneje pridobijo, dekodirajo Base64 in dinamično izvedejo kot dodaten JavaScript koristni tovor.

Slika 4. Dekodirana datoteka .png.

Ta sekundarni skript uvaja dodatno izogibanje tako, da približno pet dni miruje, preden začne omrežno aktivnost. Po aktivaciji pridobi vsebino z oddaljenega strežnika, izvleče podatke, ki jih posreduje strežnik in so shranjeni kot Ključi, kodirani v Base64in izvaja dekodirano vsebino, kar omogoča stalne posodobitve koristnega tovora in razširjen nadzor. 

Slika 5. Png koristni tovor – branje iz lokalnega pomnilnika in dekodiranje naslednje faze.

Ta postopni potek izvajanja kaže jasen razvoj v smeri daljšega mirovanja, modularnosti in odpornosti proti statičnim in vedenjskim mehanizmom zaznavanja.

Vztrajnost po odstranitvi

Čeprav sta Mozilla in Microsoft odstranila znane zlonamerne razširitve iz svojih trgovin, razširitve, ki so že nameščene v uporabniških sistemih, ostanejo aktivne razen če jih uporabnik izrecno odstrani. Ta vztrajnost poudarja omejitve odstranitev trgovin kot strategije zadrževanja, zlasti za zlonamerno programsko opremo, ki uporablja zakasnjeno aktivacijo in modularno dostavo koristnega tovora.

IOC

TTP-ji

Priporočila

Varnostni strokovnjaki, zagovorniki podjetij in razvijalci brskalnikov bi morali ukrepati naslednje:

• Razširitve revizije znotraj upravljanih okolij, zlasti tistih, ki so nameščena zunaj nadzora pravilnikov.
• uvajanje tehnologije za spremljanje razširitev na podlagi vedenja za odkrivanje nepooblaščene omrežne dejavnosti ali sumljivih manipulacij DOM-a.

• DELI: