Nová malwarová kampaň zneužívá důvěru, kterou uživatelé vkládají do známého jména. Bezpečnostní výzkumníci identifikovali falešný soubor ke stažení CCleaneru, který instaluje GhostDesk, škodlivé rozšíření pro Chrome navržené k tichému sběru cookies, uložených přihlašovacích údajů, stisků kláves a snímků obrazovky z infikovaných počítačů se systémem Windows. Tato kampaň připomíná, že i známý utilitní software může být zneužit jako zbraň, pokud útočníci ovládají zdroj, z něhož je stahován.

Co se stalo: Kampaň s falešným CCleanerem

CCleaner je široce používaný nástroj pro mazání dočasných souborů a optimalizaci výkonu systému Windows, což z něj činí atraktivní návnadu pro kyberzločince. V tomto případě útočníci zabalili GhostDesk do instalátoru, který má vypadat jako legitimní stažení CCleaneru. Jakmile uživatel soubor spustí, malware nasadí rozšíření pro Chrome, které funguje na pozadí, a poskytne útočníkovi trvalou oporu uvnitř prohlížeče, nikoli jen v operačním systému.

Tím, že se GhostDesk zaměřuje přímo na prohlížeč, získává přístup k některým z nejcitlivějších údajů, které člověk na internetu vytváří: k přihlašovacím relacím uloženým v cookies, k uživatelským jménům a heslům uloženým v prohlížeči, a dokonce i k aktivitě v reálném čase zachycené prostřednictvím stisků kláves a snímků obrazovky. Tato kombinace útočníkovi potenciálně umožňuje zcela obejít pole pro hesla tím, že unese aktivní relace, a postupně si vytvořit podrobný obraz o chování oběti online.

Jak GhostDesk funguje uvnitř Chrome

Škodlivá rozšíření prohlížeče jsou obzvláště účinná, protože běží se zvýšeným přístupem ke všemu, co uživatel v prohlížeči dělá, často aniž by spustila stejné alarmy jako tradiční desktopový malware. Jakmile je GhostDesk nainstalován, nemusí neustále komunikovat s řídicím serverem, aby byl nebezpečný. Místo toho může pasivně shromažďovat data, zatímco uživatel prohlíží web, používá bankovnictví, nakupuje nebo se přihlašuje k pracovním účtům, a poté tyto informace v intervalech odesílat.

Krádež cookies je obzvláště znepokojivá, protože ukradený cookie relace může útočníkovi umožnit vydávat se za přihlášeného uživatele, aniž by kdy potřeboval jeho heslo. V kombinaci se zaznamenáváním stisků kláves a pořizováním snímků obrazovky dokáže GhostDesk zachytit přihlašovací údaje k účtům, které používají vícefaktorové ověřovací kódy zadávané přímo na webové stránce, protože malware může kód sledovat při jeho zadávání, místo aby jej musel zachytávat zvlášť.

Proč jsou rozšíření prohlížeče rostoucím rizikem pro soukromí

Tento incident zapadá do širšího vzorce, kdy se hlavním bojištěm pro krádeže dat stal prohlížeč, nikoli operační systém. Prohlížeče dnes najednou ukládají hesla, platební údaje, historii prohlížení a aktivní relace k desítkám služeb, což z nich činí vysoce hodnotný cíl. Zejména rozšíření mohou snadno projít zběžnou pozorností, protože uživatelé jsou zvyklí jim udělovat rozsáhlá oprávnění, aby si „vylepšili“ prohlížení, aniž by vždy ověřovali, odkud rozšíření skutečně pochází nebo co dělá na pozadí.

Případ falešného CCleaneru také ukazuje, jak útočníci nadále spoléhají na důvěryhodné názvy softwaru spíše než na neznámé či neobvyklé programy, aby zvýšili pravděpodobnost, že oběť soubor bez váhání stáhne a spustí. S tím, jak se distribuce běžného softwaru stále více přesouvá do výsledků vyhledávačů a na stahovací weby třetích stran, roste riziko, že narazíte na přesvědčivý padělek. To je součást širšího trendu, kdy útočníci umisťují škodlivé nástroje do okolí legitimních technologických ekosystémů, podobně jako se státní aktéři snažili formovat a kontrolovat přístup k nově vznikajícím technologiím, jako je vývoj open-source AI, pro vlastní strategické účely.

Co to znamená pro vás

Pokud jste si v poslední době stáhli CCleaner z jiného zdroje než z oficiálních stránek dodavatele, vyplatí se zkontrolovat nainstalovaná rozšíření Chrome, zda mezi nimi není něco neznámého, a také projít správce úloh Chrome a podívat se po procesech, které nepoznáváte. Protože GhostDesk cílí na cookies a uložené přihlašovací údaje, měl by každý, kdo má podezření na infekci, považovat hesla uložená v prohlížeči a aktivní relace za potenciálně kompromitované, nejen samotný operační systém.

Praktické ponaučení přesahuje tuto jedinou kampaň. Bezplatný utilitní software, zejména nástroje slibující „zrychlení“ nebo „vyčištění“ počítače, je trvale oblíbeným převlekem pro malware, protože oslovuje uživatele hledající rychlé řešení. Stahování softwaru pouze z oficiálních webů dodavatele, nikoli z reklam ve vyhledávání nebo agregátorových stránek třetích stran, zůstává jedním z nejjednodušších způsobů, jak se této kategorii útoků zcela vyhnout.

Praktická doporučení

Zkontrolujte nainstalovaná rozšíření Chrome a odstraňte vše, co nepoznáváte nebo co jste úmyslně nenainstalovali. CCleaner, stejně jako jakýkoli jiný utilitní software, stahujte pouze přímo z oficiálních stránek vydavatele, nikoli z výsledků vyhledávání nebo stahovacích center třetích stran. Pokud máte podezření, že byl váš prohlížeč kompromitován, změňte si hesla k citlivým účtům a zvažte použití správce hesel, který je oddělený od úložiště v prohlížeči. Spusťte úplnou antivirovou nebo antimalwarovou kontrolu na každém počítači se systémem Windows, na němž se nedávné stažení zdálo podezřelé, a kde je to možné, zapněte vícefaktorové ověřování pomocí autentizační aplikace namísto kódu zadávaného na obrazovce. Být ve střehu před tím, jak se spyware GhostDesk pro Chrome šíří prostřednictvím falešných instalátorů, je jednou z nejúčinnějších obran, kterou mají běžní uživatelé k dispozici.