Uusi haittaohjelmakampanja käyttää hyväkseen käyttäjien luottamusta tuttuun nimeen. Tietoturvatutkijat ovat tunnistaneet väärennetyn CCleaner-latauksen, joka asentaa GhostDeskin, haitallisen Chrome-laajennuksen, joka on suunniteltu hiljaa keräämään evästeitä, tallennettuja kirjautumistietoja, näppäinpainalluksia ja kuvakaappauksia tartunnan saaneista Windows-koneista. Kampanja on muistutus siitä, että tunnetutkin apuohjelmat voidaan valjastaa hyökkäyskäyttöön, kun hyökkääjä hallitsee latauslähdettä.
Mitä tapahtui: väärennetty CCleaner-kampanja
CCleaner on laajalti käytetty työkalu väliaikaistiedostojen poistamiseen ja Windowsin suorituskyvyn optimointiin, mikä tekee siitä houkuttelevan syötin verkkorikollisille. Tässä tapauksessa hyökkääjät ovat paketoineet GhostDeskin asennusohjelmaan, joka on suunniteltu näyttämään aidolta CCleaner-lataukselta. Kun käyttäjä suorittaa tiedoston, haittaohjelma asentaa Chrome-laajennuksen, joka toimii taustalla ja antaa hyökkääjälle pysyvän jalansijan selaimessa eikä vain käyttöjärjestelmässä.
Kohdistamalla suoraan selaimeen GhostDesk pääsee käsiksi joihinkin arkaluonteisimpiin tietoihin, joita ihminen tuottaa verkossa: evästeisiin tallennettuihin kirjautumisistuntoihin, selaimeen tallennettuihin käyttäjänimiin ja salasanoihin sekä jopa reaaliaikaiseen toimintaan, jota kerätään näppäinpainalluksilla ja kuvakaappauksilla. Tämä yhdistelmä voi antaa hyökkääjälle mahdollisuuden ohittaa salasanakentät kokonaan kaappaamalla aktiivisia istuntoja ja rakentaa ajan mittaan yksityiskohtaisen kuvan uhrin verkkokäyttäytymisestä.
Miten GhostDesk toimii Chromessa
Haitalliset selainlaajennukset ovat erityisen tehokkaita, koska ne toimivat korotetuin oikeuksin kaikkeen, mitä käyttäjä tekee selaimessa, usein laukaisematta samoja hälytyksiä kuin perinteiset työpöytähaittaohjelmat. Kun GhostDesk on asennettu, sen ei tarvitse jatkuvasti viestiä komentopalvelimen kanssa ollakseen vaarallinen. Sen sijaan se voi passiivisesti kerätä tietoja, kun käyttäjä selaa, hoitaa pankkiasioita, tekee ostoksia tai kirjautuu työtileille, ja siirtää tiedot sitten väliajoin ulos.
Evästevarkaus on erityisen huolestuttavaa, koska varastetun istuntoevästeen avulla hyökkääjä voi esiintyä kirjautuneena käyttäjänä ilman, että tarvitsee koskaan tämän salasanaa. Yhdistettynä näppäinpainallusten tallentamiseen ja kuvakaappausten ottamiseen GhostDesk pystyy kaappaamaan kirjautumistietoja tileiltä, jotka käyttävät suoraan verkkosivulle kirjoitettavia monivaiheisen tunnistautumisen koodeja, koska haittaohjelma voi havaita koodin sitä syötettäessä, eikä sen tarvitse siepata sitä erikseen.
Miksi selainlaajennukset ovat kasvava yksityisyysriski
Tämä tapaus sopii laajempaan kehityskulkuun, jossa selaimesta, ei käyttöjärjestelmästä, on tullut tietovarkauksien ensisijainen taistelukenttä. Selaimet tallentavat nykyään salasanoja, maksutietoja, selaushistoriaa ja aktiivisia istuntoja kymmenille palveluille kerralla, mikä tekee niistä erittäin arvokkaan kohteen. Erityisesti laajennukset voivat livahtaa huomaamatta, koska käyttäjät ovat tottuneet antamaan niille laajat oikeudet selailun "parantamiseksi" ilman, että aina tarkistetaan, mistä laajennus todella on peräisin tai mitä se tekee taustalla.
Väärennetty CCleaner-tapaus korostaa myös sitä, miten hyökkääjät turvautuvat yhä tunnettuihin ohjelmistonimiin epämääräisten tai tuntemattomien ohjelmien sijaan lisätäkseen todennäköisyyttä, että uhri lataa ja suorittaa tiedoston epäröimättä. Kun yhä useampi arkipäiväinen ohjelmistojakelu siirtyy hakukoneiden tuloksiin ja kolmannen osapuolen lataussivustoille, riski törmätä vakuuttavaan väärennökseen kasvaa. Tämä on osa laajempaa suuntausta, jossa hyökkääjät sijoittavat haitallisia työkaluja legitiimien teknologiaekosysteemien ympärille, samaan tapaan kuin valtiolliset toimijat ovat pyrkineet muokkaamaan ja hallitsemaan pääsyä kehittyviin teknologioihin, kuten avoimen lähdekoodin tekoälykehitykseen, omien strategisten päämääriensä vuoksi.
Mitä tämä tarkoittaa sinulle
Jos olet ladannut CCleanerin äskettäin muualta kuin viralliselta valmistajan sivustolta, kannattaa tarkistaa asennetut Chrome-laajennukset mahdollisten vieraiden laajennusten varalta ja käydä läpi Chromen tehtävienhallinta sellaisten prosessien varalta, joita et tunnista. Koska GhostDesk kohdistuu evästeisiin ja tallennettuihin kirjautumistietoihin, jokaisen, joka epäilee tartuntaa, tulisi kohdella selaimeen tallennettuja salasanoja ja aktiivisia istuntoja mahdollisesti vaarantuneina, ei vain käyttöjärjestelmää.
Käytännön opetus ulottuu tätä yksittäistä kampanjaa laajemmalle. Ilmaiset apuohjelmat, erityisesti työkalut, jotka lupaavat "nopeuttaa" tai "puhdistaa" tietokonetta, ovat jatkuvasti suosittu haittaohjelmien valepuku, koska ne vetoavat käyttäjiin, jotka etsivät nopeaa korjausta. Ohjelmistojen lataaminen vain virallisilta valmistajan sivustoilta mainosten tai kolmannen osapuolen kokoajasivustojen sijaan on edelleen yksi yksinkertaisimmista tavoista välttää tämä hyökkäysluokka kokonaan.
Käytännön vinkit
Tarkista asennetut Chrome-laajennukset ja poista kaikki, mitä et tunnista tai mitä et ole tarkoituksella asentanut. Lataa CCleaner tai mikä tahansa apuohjelma suoraan virallisen julkaisijan verkkosivustolta hakukonetulosten tai kolmannen osapuolen latauskeskusten sijaan. Vaihda arkaluonteisten tilien salasanat, jos epäilet selaimesi vaarantuneen, ja harkitse erillisen salasanojen hallintaohjelman käyttöä selainpohjaisen tallennustilan sijaan. Suorita täysi virustorjunta- tai haittaohjelmatarkistus kaikissa Windows-koneissa, joissa äskettäinen lataus vaikutti epäilyttävältä, ja ota käyttöön monivaiheinen tunnistautuminen todennussovelluksella näytölle kirjoitettavan koodin sijaan aina kun mahdollista. Valppaus sen suhteen, miten GhostDesk Chrome -vakoiluohjelma leviää väärennettyjen asennusohjelmien kautta, on yksi tehokkaimmista puolustuksista tavallisille käyttäjille.
