ModHeader malware: Google stáhl rozšíření s 1,6 miliony instalací

Odhalení malwaru ModHeader si vynutilo odstranění z Chromu a Edge

Rozšíření prohlížeče, kterému důvěřovalo více než 1,6 milionu uživatelů, bylo staženo z obchodu Chrome Web Store i z Microsoft Edge Add-ons poté, co bezpečnostní výzkumníci zjistili, že bylo v tichosti propojeno se spywarem. ModHeader, oblíbený nástroj používaný vývojáři pro úpravu HTTP požadavků a hlaviček odpovědí, byl společností Google označen jako malware ve verzi 7.0.18. Microsoft následně 3. července rozšíření odstranil z Edge. Odhalení, podrobně popsané v reverzní inženýrské analýze výzkumníky, kteří se ponořili do kódu rozšíření, ukazuje, jak lze legitimní, dlouhodobě důvěryhodný nástroj proměnit v skrytý mechanismus sběru dat, aniž by si toho většina uživatelů vůbec všimla.

Nešlo o případ zjevně falešného rozšíření, které by lidi přimělo k instalaci podvodem. ModHeader měl roky historie, velký počet instalací a skutečný případ použití pro webové vývojáře a QA testery, kteří potřebovali upravovat hlavičky pro testovací účely. Právě tato legitimnost způsobila, že skrytý kód uvnitř verze 7.0.18 byl tak znepokojivý.

Co analýza odhalila uvnitř kódu

Podle analýzy nebyla škodlivá funkcionalita ve výchozím nastavení aktivní. Místo toho výzkumníci odhalili takzvaný spící sběrač, skrytý modul vytvořený k zašifrování a nahrání seznamu navštívených domén, schopný sledovat až 1 000 webů v každém zasaženém prohlížeči. Kód se nespustil okamžitě po instalaci, ale zůstal nečinný a čekal na spouštěcí podmínku, než by začal sklízet data o prohlížení a odesílat je v zašifrované podobě.

Tato spící povaha je pozoruhodným konstrukčním rozhodnutím. Malware, který zůstává tichý, je pro automatické skenery obchodů těžší zachytit, pro příležitostné revize kódu těžší odhalit a pro běžného uživatele těžší postřehnout při každodenním používání prohlížeče. Naznačuje to také spíše promyšlené plánování než neopatrnou chybu. Skrytý kód měl údajně podobu skrytého SDK začleněného do jinak normálního, fungujícího rozšíření, což znamená, že ModHeader stále fungoval přesně jak bylo inzerováno pro editaci hlaviček, zatímco spywarová komponenta seděla pod povrchem, zašifrovaná a mimo dohled.

Proč je důvěryhodný vývojářský nástroj vysoce atraktivním cílem

Rozšíření jako ModHeader jsou atraktivními cíli právě kvůli tomu, kdo je používá. Editory hlaviček jsou běžné mezi vývojáři, QA inženýry a technicky zdatnými uživateli, lidmi, kteří mají často zvýšená oprávnění, přístup k interním nástrojům nebo vzorce procházení vázané na firemní a vývojová prostředí. Nástroj pro sběr domén zabudovaný do hojně instalované vývojářské utility by mohl v tichosti vytvářet obrázek o interních nástrojích, testovacích prostředích a službách třetích stran, na které organizace spoléhá, a to vše bez spuštění obvyklých antivirových nebo koncových výstrah, protože samotné rozšíření bylo podepsáno, distribuováno prostřednictvím oficiálních obchodů a mělo dlouhou historii legitimního použití.

Tento případ také poukazuje na strukturální slabinu v tom, jak je důvěřováno rozšířením prohlížeče. Chrome i Edge se při schvalování aktualizací rozšíření spoléhají na kombinaci automatické revize a signálů reputace. Rozšíření s 1,6 miliony instalací a roky čisté historie nese implicitní skóre důvěry, které mohou nové aktualizace v tichosti zneužít, obzvláště když je škodlivá funkcionalita zašifrovaná a nečinná, nikoli okamžitě pozorovatelná.

Co to znamená pro vás

Pokud máte ModHeader nainstalováno, zejména verzi 7.0.18, nejpřímějším krokem je jej z prohlížeče odstranit a vymazat související úložiště prohlížeče, protože nečinný kód již mohl být přítomen, i když se ještě neaktivoval. Bez ohledu na toto konkrétní rozšíření je širším poučením obecná hygiena rozšíření. Rozšíření prohlížeče pracují s významným přístupem k tomu, co prohlížíte, a popularita nebo dlouhá historie instalací nejsou zárukou trvalé bezpečnosti, protože každé rozšíření lze kdykoli aktualizovat novým kódem.

Několik návyků snižuje vystavení tomuto typu rizika. Pravidelně kontrolujte nainstalovaná rozšíření a odstraňte ta, která aktivně nepoužíváte. Věnujte pozornost změnám oprávnění po aktualizacích, protože editor hlaviček žádající široký nový přístup stojí za prozkoumání. Upřednostňujte rozšíření, která jsou aktivně udržována a pokud možno s otevřeným zdrojovým kódem, takže změny kódu jsou viditelné pro externí recenzenty, nikoli skryté uvnitř zkompilovaného nebo zacloněného balíčku.

Klíčové poznatky

Případ malwaru ModHeader je připomínkou, že důvěra v rozšíření prohlížeče musí být průběžná, nikoli jednorázová. Rozšíření může být roky bezpečné a pak se v tichosti změnit. Pokud používáte ModHeader, odinstalujte jej a zkontrolujte konkrétní označenou verzi. V širší rovině nyní zkontrolujte svá nainstalovaná rozšíření, odstraňte vše nepotřebné a sledujte oficiální upozornění obchodů od Googlu a Microsoftu, protože obě společnosti po identifikaci skryté spywarové komponenty rychle zasáhly. Být informován o takovýchto odstraněních je jeden z nejjednodušších způsobů, jak udržet svůj prohlížeč a svá data pod vlastní kontrolou.