Đã đến lúc kiểm tra xem bạn có chạy bất kỳ tiện ích mở rộng nào trong số 33 tiện ích mở rộng độc hại này của Chrome hay không

Khi nhiều người trong chúng ta kỷ niệm kỳ nghỉ cuối năm, một nhóm nhỏ các nhà nghiên cứu đã làm việc ngoài giờ để theo dõi một khám phá đáng kinh ngạc: Ít nhất 33 tiện ích mở rộng trình duyệt được lưu trữ trong Cửa hàng Chrome trực tuyến của Google, một số kéo dài tới 18 tháng, đã lén lút bòn rút dữ liệu nhạy cảm từ khoảng 2,6 triệu thiết bị.

Những thỏa hiệp đã được đưa ra ánh sáng với khám phá bởi dịch vụ ngăn ngừa mất dữ liệu Cyberhaven mà tiện ích mở rộng Chrome được sử dụng bởi 400.000 khách hàng của họ đã được cập nhật mã đánh cắp dữ liệu nhạy cảm của họ.

’Twas vào đêm trước Giáng sinh

Tiện ích mở rộng độc hại, có sẵn dưới dạng phiên bản 24.10.4, có sẵn trong 31 giờ, từ ngày 25 tháng 12 lúc 1:32 sáng UTC đến ngày 26 tháng 12 lúc 2:50 sáng UTC. Các trình duyệt Chrome chủ động chạy Cyberhaven trong cửa sổ đó sẽ tự động tải xuống và cài đặt mã độc. Cyberhaven phản hồi bằng cách phát hành phiên bản 24.10.5 và 24.10.6 vài ngày sau đó.

Tiện ích mở rộng Cyberhaven được thiết kế để ngăn người dùng vô tình nhập dữ liệu nhạy cảm vào email hoặc trang web họ truy cập. Các phân tích của phiên bản 24.10.4 cho thấy rằng nó đã được cấu hình để làm việc với các tải trọng khác nhau đã được tải về từ cyberhavenext[.]pro, một trang web độc hại mà tác nhân đe dọa đã đăng ký để cung cấp cho sự xuất hiện của nó được liên kết với công ty. Một trọng tải được phục hồi, Cyberhaven nói rằng, quét các thiết bị người dùng để tìm cookie trình duyệt và thông tin xác thực cho miền facebook.com. Một payload riêng biệt phục hồi bởi công ty bảo mật Secure Annex đã đánh cắp cookie và thông tin đăng nhập cho chatgpt.com; cyberhaven cho biết tải trọng đã không xuất hiện chức năng.

Phiên bản độc hại xuất hiện thông qua một email lừa đảo trực tuyến được gửi đến các nhà phát triển mà Google đã liệt kê cho tiện ích mở rộng Cyberhaven vào đêm Giáng sinh. Nó cảnh báo rằng tiện ích mở rộng không tuân thủ các điều khoản của Google và sẽ bị thu hồi trừ khi nhà phát triển hành động ngay lập tức.

 

Nh chụp màn hình hiển thị email lừa đảo được gửi đến các nhà phát triển tiện ích mở rộng Cyberhaven. Tín dụng: Amit Assaraf

Một liên kết trong email dẫn đến màn hình chấp thuận của Google yêu cầu quyền truy cập đối với một OAuth ứng dụng có tên Tiện ích mở rộng chính sách quyền riêng tư. Một nhà phát triển Cyberhaven đã cấp quyền và trong quá trình đó, đã vô tình cho kẻ tấn công khả năng tải lên các phiên bản mới của tiện ích mở rộng Chrome của Cyberhaven lên Cửa hàng Chrome trực tuyến. Kẻ tấn công sau đó đã sử dụng quyền để loại bỏ phiên bản độc hại 24.10.4.

 

Nh chụp màn hình hiển thị yêu cầu cấp phép của Google. Tín dụng: Amit Assaraf

Khi tin tức về cuộc tấn công lan truyền vào rạng sáng ngày 25 tháng 12, các nhà phát triển và nhà nghiên cứu đã phát hiện ra rằng các tiện ích mở rộng khác đã bị nhắm mục tiêu, trong nhiều trường hợp thành công, bởi cùng một chiến dịch lừa đảo trực tuyến. John Tuckner, người sáng lập Secure Annex, một công ty quản lý và phân tích tiện ích mở rộng trình duyệt, cho biết tính đến chiều thứ Năm, ông đã biết về 19 tiện ích mở rộng Chrome khác cũng bị xâm phạm tương tự. Trong mọi trường hợp, kẻ tấn công đã sử dụng tính năng lừa đảo trực tuyến để đẩy một phiên bản độc hại mới và các miền trông giống nhau, tùy chỉnh để phát hành tải trọng và nhận thông tin xác thực. Tổng cộng, 20 tiện ích mở rộng đã có 1,46 triệu lượt tải xuống.

“Đối với nhiều người mà tôi nói chuyện, việc quản lý các tiện ích mở rộng trình duyệt có thể là mục có mức độ ưu tiên thấp hơn trong chương trình bảo mật của họ,” Tuckner viết trong email. “Mọi người biết rằng họ có thể gây ra mối đe dọa, nhưng hiếm khi các đội hành động chống lại họ. Chúng tôi thường thấy trong bảo mật [rằng] một hoặc hai sự cố có thể gây ra sự đánh giá lại về tư thế bảo mật của tổ chức. Những sự cố như thế này thường dẫn đến việc các nhóm phải tranh giành để tìm cách đạt được khả năng hiển thị và hiểu biết về tác động đối với tổ chức của họ.”

Thỏa hiệp sớm nhất xảy ra vào tháng 5 năm 2024. Tuckner đã cung cấp bảng tính sau:

Nhưng chờ đã, còn nữa

Một trong những phần mở rộng bị xâm phạm được gọi là Chế độ đọc". Phân tích sâu hơn cho thấy nó đã bị xâm phạm không chỉ trong chiến dịch nhắm vào 19 tiện ích mở rộng khác mà còn trong một chiến dịch riêng biệt bắt đầu không muộn hơn tháng 4 năm 2023. Tuckner cho biết nguồn gốc của sự thỏa hiệp dường như là do các nhà phát triển thư viện mã có thể sử dụng để kiếm tiền từ các tiện ích mở rộng của họ. Thư viện mã thu thập thông tin chi tiết về mỗi lần truy cập web mà trình duyệt thực hiện. Để đổi lấy việc kết hợp thư viện vào các tiện ích mở rộng, các nhà phát triển sẽ nhận được hoa hồng từ người tạo thư viện.