En ny malwarekampagne udnytter den tillid, brugere har til et velkendt navn. Sikkerhedsforskere har identificeret en falsk CCleaner-download, der installerer GhostDesk, en ondsindet Chrome-udvidelse designet til i stilhed at indsamle cookies, gemte loginoplysninger, tastetryk og skærmbilleder fra inficerede Windows-maskiner. Kampagnen er en påmindelse om, at selv velkendt hjælpeprogrammel kan blive våben, når angribere kontrollerer downloadkilden.

Hvad skete der: Den falske CCleaner-kampagne

CCleaner er et udbredt værktøj til at rydde midlertidige filer og optimere Windows-ydeevne, hvilket gør det til et attraktivt lokkemiddel for cyberkriminelle. I dette tilfælde har angribere pakket GhostDesk ind i et installationsprogram, der er designet til at ligne en legitim CCleaner-download. Når en bruger kører filen, installerer malwaren en Chrome-udvidelse, der arbejder i baggrunden, og giver angriberen et vedvarende fodfæste i browseren frem for blot operativsystemet.

Ved at målrette browseren direkte får GhostDesk adgang til nogle af de mest følsomme data, en person genererer online: loginsessioner gemt i cookies, brugernavne og adgangskoder gemt i browseren og endda realtidsaktivitet registreret via tastetryk og skærmbilleder. Denne kombination kan give en angriber mulighed for potentielt at omgå adgangskodefelter helt ved at kapre aktive sessioner og opbygge et detaljeret billede af offerets onlineadfærd over tid.

Sådan opererer GhostDesk i Chrome

Ondsindede browserudvidelser er særligt effektive, fordi de kører med udvidet adgang til alt, hvad brugeren foretager sig i browseren, ofte uden at udløse de samme alarmer som traditionel desktop-malware. Når GhostDesk først er installeret, behøver den ikke konstant at kommunikere med en kommandoserver for at være farlig. I stedet kan den passivt indsamle data, mens brugeren surfer, bruger netbank, shopper eller logger ind på arbejdskonti, og derefter eksfiltrere disse oplysninger med mellemrum.

Cookietyveri er særligt bekymrende, fordi en stjålet sessionscookie kan lade en angriber udgive sig for at være en logget ind bruger uden nogensinde at have brug for deres adgangskode. Kombineret med tastetrykslogning og skærmbilledoptagelse er GhostDesk i stand til at indfange loginoplysninger til konti, der bruger multifaktorgodkendelseskoder, som tastes direkte ind på en webside, da malwaren kan observere koden, mens den indtastes, i stedet for at skulle opfange den separat.

Hvorfor browserudvidelser er en voksende privatlivsrisiko

Denne hændelse passer ind i et bredere mønster, hvor browseren, ikke operativsystemet, er blevet den primære kampplads for datatyveri. Browsere gemmer nu adgangskoder, betalingsoplysninger, browserhistorik og aktive sessioner for snesevis af tjenester på én gang, hvilket gør dem til et mål af høj værdi. Især udvidelser kan slippe forbi overfladisk kontrol, fordi brugere er vant til at give dem brede tilladelser til at "forbedre" browsing uden altid at kontrollere, hvor udvidelsen faktisk kom fra, eller hvad den laver i baggrunden.

Sagen med falsk CCleaner fremhæver også, hvordan angribere fortsat satser på betroede softwarenavne frem for obskure eller ukendte programmer for at øge chancen for, at et offer downloader og kører filen uden tøven. Efterhånden som mere almindelig softwaredistribution flytter mod søgemaskineresultater og tredjepartsdownloadsider, vokser risikoen for at støde på en overbevisende forfalskning. Dette er en del af en større tendens, hvor angribere placerer ondsindede værktøjer omkring legitime teknologiøkosystemer, i lighed med hvordan statslige aktører har forsøgt at forme og kontrollere adgangen til ny teknologi som open-source AI-udvikling til deres egne strategiske formål.

Hvad dette betyder for dig

Hvis du for nylig har downloadet CCleaner fra en anden kilde end leverandørens officielle websted, er det værd at tjekke dine installerede Chrome-udvidelser for noget ukendt og gennemgå Chromes jobliste for processer, du ikke genkender. Da GhostDesk målretter cookies og gemte loginoplysninger, bør enhver, der har mistanke om infektion, behandle adgangskoder og aktive sessioner gemt i browseren som potentielt kompromitterede – ikke kun selve operativsystemet.

Den praktiske lære rækker ud over denne enkelte kampagne. Gratis hjælpeprogrammer, især værktøjer der lover at "gøre pc’en hurtigere" eller "rydde op", er en konstant populær forklædning for malware, fordi de appellerer til brugere, der søger en hurtig løsning. At downloade software udelukkende fra officielle leverandørwebsteder i stedet for søgeannoncer eller tredjepartsaggregatorer er fortsat en af de enkleste måder helt at undgå denne type angreb.

Praktiske råd

Gennemgå dine installerede Chrome-udvidelser, og fjern alt, du ikke genkender eller ikke bevidst har installeret. Download kun CCleaner eller anden hjælpesoftware direkte fra den officielle udgivers websted i stedet for søgeresultater eller tredjepartsdownloadknudepunkter. Skift adgangskoder til følsomme konti, hvis du har mistanke om, at din browser er blevet kompromitteret, og overvej at bruge en adgangskodeadministrator, der er adskilt fra browserbaseret lagring. Kør en fuld antivirus- eller anti-malware-scanning på enhver Windows-maskine, hvor en nylig download virkede mistænkelig, og aktiver multifaktorgodkendelse med en app til godkendelse frem for en kode, der tastes på skærmen, hvor det er muligt. At være opmærksom på, hvordan GhostDesk Chrome-spyware spredes via falske installationsprogrammer, er et af de mest effektive forsvar, almindelige brugere har.