108 złośliwych rozszerzeń Chrome wykradało dane i sesje Telegram. Wspólna infrastruktura C2
Badacze z Socket zidentyfikowali 108 złośliwych rozszerzeń do Chrome, które współdzielą jedną infrastrukturę C2. Łącznie zebrały około 20 tysięcy instalacji, wykradając dane kont Google i sesje Telegram Web.
Badacze z firmy Socket odkryli kampanię obejmującą 108 złośliwych rozszerzeń do przeglądarki Chrome, które mimo pozornie legalnej funkcjonalności wykradały dane użytkowników i kontaktowały się z tą samą infrastrukturą command-and-control. Dodatki publikowane z pięciu różnych kont zebrały łącznie około 20 tysięcy instalacji w Chrome Web Store.
Jak działały złośliwe rozszerzenia
Kampania wyróżniała się przemyślaną strategią. Atakujący publikowali rozszerzenia o zróżnicowanej funkcjonalności — od narzędzi do obsługi Telegrama, przez gry, po wtyczki ulepszające YouTube i TikTok. Użytkownicy instalujący dodatek faktycznie otrzymywali obiecaną funkcję. Interfejs Telegrama w panelu bocznym działał, gry były możliwe do uruchomienia. Jednocześnie jednak w tle działał złośliwy kod eksfiltrujący dane na serwer C2.
54 z 108 rozszerzeń zbierało informacje o koncie Google użytkownika. Wykorzystywały w tym celu API chrome.identity do uzyskania tokenu OAuth2, a następnie wykonywały żądanie do googleapis.com/oauth2/v3/userinfo. Wymagało to od ofiary jedynie kliknięcia przycisku „Zaloguj” w przeglądarce. Adres e-mail, imię, nazwisko, zdjęcie profilowe oraz identyfikator konta trafiały następnie na serwer mines.cloudapi.stream/auth_google.
Przejmowanie sesji Telegram Web
Najbardziej zaawansowanym narzędziem okazało się rozszerzenie Telegram Multi-account. Wykradało ono token aktywnej sesji Telegram Web z przeglądarki ofiary i przesyłało go na serwer tg.cloudapi.stream/save_session.php co 15 sekund. Mechanizm polegał na wstrzyknięciu skryptu, który wyodrębniał wartość user_auth z localStorage przeglądarki.
Dodatek posiadał również funkcję działającą w odwrotnym kierunku. Po otrzymaniu wiadomości set_session_changed wtyczka czyściła zawartość localStorage ofiary, nadpisywała ją danymi sesji dostarczonymi przez operatora i wymuszała przeładowanie Telegrama. Pozwalało to zamienić przeglądarkę dowolnej ofiary na inne konto Telegram bez jej wiedzy.
Modyfikacja nagłówków bezpieczeństwa
Pięć rozszerzeń używało API Chrome declarativeNetRequest do usuwania nagłówków bezpieczeństwa przed załadowaniem strony. Każde z nich usuwało Content Security Policy, X-Frame-Options, ustawiało Access-Control-Allow-Origin na gwiazdkę oraz zmieniało wysyłane wartości User-Agent, Origin i Referer. Rozszerzenia Telegram Multi-account oraz Teleside modyfikowały nagłówki dla web.telegram.org, a dodatki YouSide i SideYou dla youtube.com.
45 rozszerzeń zawierało funkcję uruchamianą przy każdym starcie przeglądarki. Pobierała ona dane z endpointu mines.cloudapi.stream/user_info, a jeśli w odpowiedzi znajdował się parametr infoURL, wtyczka otwierała go w nowej karcie bez interakcji ze strony użytkownika. Mechanizm ten umożliwiał atakującym zdalne otwieranie dowolnych adresów URL w przeglądarce ofiary.
Wspólna infrastruktura ataku
Wszystkie 108 rozszerzeń współdzieliło backend pod adresem IP 144.126.135.238, należącym do VPS Contabo. Domenę cloudapi.stream zarejestrowano 30 kwietnia 2022 przez Hosting Ukraine LLC. Badacze Socket wskazują, że na serwerze działa Strapi CMS oraz baza danych PostgreSQL. Część wtyczek korzystała także z drugiej domeny — top.rodeo — używanej jako backend do gier.
Do pobierania danych z API Google wszystkie 54 rozszerzenia używały identyfikatorów OAuth2 client ID przypisanych do dwóch projektów Google Cloud. To kolejna cecha pozwalająca przypisać wszystkie te wtyczki jednej skoordynowanej kampanii.
Co robić w obliczu zagrożenia
Użytkownicy powinni regularnie przeglądać listę zainstalowanych rozszerzeń i usuwać te, których nie rozpoznają lub nie używają. Należy zwrócić uwagę na uprawnienia żądane przez dodatki — dostęp do wszystkich stron, możliwość modyfikacji danych czy zarządzanie aplikacjami to sygnały ostrzegawcze. Instalowanie rozszerzeń wyłącznie od zweryfikowanych wydawców z dużą liczbą użytkowników i pozytywnymi opiniami zmniejsza ryzyko.
Kampania ta pokazuje, że atakujący coraz częściej stosują taktykę „działającej fasady” — oferują rzeczywistą funkcjonalność, aby uśpić czujność użytkowników i recenzentów sklepów z rozszerzeniami. Samo pobieranie informacji profilowych konta Google nie pozwala na przejęcie dostępu do konta, stanowi jednak naruszenie zasad Google i prywatności użytkowników.
