Nova kampanja zlonamjernog softvera iskorištava povjerenje koje korisnici polažu u poznato ime. Sigurnosni istraživači identificirali su lažno preuzimanje CCleanera koje instalira GhostDesk, zlonamjerno proširenje za Chrome osmišljeno za tiho prikupljanje kolačića, spremljenih vjerodajnica, pritisaka tipki i snimaka zaslona sa zaraženih Windows računala. Ova kampanja podsjeća da se čak i dobro poznati uslužni softver može iskoristiti kao oružje kada napadači kontroliraju izvor preuzimanja.
Što se dogodilo: lažna kampanja s CCleanerom
CCleaner je široko korišten alat za brisanje privremenih datoteka i optimizaciju performansi sustava Windows, zbog čega je privlačan mamac kibernetičkim kriminalcima. U ovom su slučaju napadači upakirali GhostDesk u instalacijski program koji izgleda kao legitimno preuzimanje CCleanera. Nakon što korisnik pokrene datoteku, zlonamjerni softver postavlja proširenje za Chrome koje radi u pozadini, dajući napadaču trajno uporište unutar preglednika, a ne samo u operacijskom sustavu.
Izravnim ciljanjem preglednika GhostDesk dobiva pristup nekim od najosjetljivijih podataka koje osoba stvara na internetu: prijavljenim sesijama pohranjenima u kolačićima, korisničkim imenima i lozinkama spremljenima u pregledniku te čak aktivnostima u stvarnom vremenu zabilježenima pritiscima tipki i snimkama zaslona. Ta kombinacija napadaču omogućuje da potencijalno u potpunosti zaobiđe polja za lozinke otimanjem aktivnih sesija te da s vremenom izgradi detaljnu sliku ponašanja žrtve na internetu.
Kako GhostDesk djeluje unutar Chromea
Zlonamjerna proširenja preglednika posebno su učinkovita jer rade s povišenim pristupom svemu što korisnik radi unutar preglednika, često bez pokretanja istih alarma kao tradicionalni zlonamjerni softver za radnu površinu. Nakon što je GhostDesk instaliran, ne mora stalno komunicirati s poslužiteljem za zapovijedanje da bi bio opasan. Umjesto toga, može pasivno prikupljati podatke dok korisnik pregledava, obavlja bankarske poslove, kupuje ili se prijavljuje u poslovne račune, a zatim u intervalima eksfiltrirati te podatke.
Krađa kolačića posebno je zabrinjavajuća jer ukradeni kolačić sesije napadaču može omogućiti da se lažno predstavi kao prijavljeni korisnik bez potrebe za lozinkom. U kombinaciji s bilježenjem pritisaka tipki i snimanjem zaslona, GhostDesk može uhvatiti vjerodajnice za račune koji koriste kôdove višefaktorske autentifikacije upisane izravno na web-stranicu, jer zlonamjerni softver može vidjeti kôd dok se unosi umjesto da ga treba presresti zasebno.
Zašto su proširenja preglednika sve veći rizik za privatnost
Ovaj incident uklapa se u širi obrazac u kojem je preglednik, a ne operacijski sustav, postao glavno bojno polje za krađu podataka. Preglednici danas pohranjuju lozinke, podatke o plaćanju, povijest pregledavanja i aktivne sesije za desetke usluga odjednom, što ih čini visokovrijednom metom. Posebno proširenja mogu proći ispod površne provjere jer su korisnici navikli davati im široka dopuštenja kako bi „poboljšala” pregledavanje, a da pritom uvijek ne provjere odakle je proširenje zapravo došlo ili što radi u pozadini.
Slučaj lažnog CCleanera također naglašava kako se napadači i dalje oslanjaju na imena pouzdanog softvera umjesto na nepoznate programe kako bi povećali izglede da će žrtva bez oklijevanja preuzeti i pokrenuti datoteku. Kako se distribucija svakodnevnog softvera sve više seli na rezultate tražilica i stranice za preuzimanje trećih strana, rizik od nailaska na uvjerljivi lažnjak raste. To je dio šireg trenda u kojem napadači postavljaju zlonamjerne alate oko legitimnih tehnoloških ekosustava, slično kao što su akteri nacionalnih država pokušavali oblikovati i kontrolirati pristup novim tehnologijama poput razvoja umjetne inteligencije otvorenog koda za vlastite strateške svrhe.
Što to znači za vas
Ako ste nedavno preuzeli CCleaner s izvora koji nije službena stranica proizvođača, vrijedi provjeriti instalirana proširenja za Chrome u potrazi za nečim nepoznatim te pregledati Chromeov upravitelj zadataka u potrazi za procesima koje ne prepoznajete. Budući da GhostDesk cilja kolačiće i spremljene vjerodajnice, svatko tko sumnja na zarazu trebao bi lozinke pohranjene u pregledniku i aktivne sesije smatrati potencijalno ugroženima, a ne samo operacijski sustav.
Praktična lekcija nadilazi ovu pojedinačnu kampanju. Besplatni uslužni softver, osobito alati koji obećavaju da će „ubrzati” ili „očistiti” računalo, dosljedno je popularna maska za zlonamjerni softver jer privlači korisnike koji traže brzo rješenje. Preuzimanje softvera isključivo sa službenih web-stranica proizvođača, umjesto s oglasa u rezultatima pretraživanja ili agregatorskih stranica trećih strana, ostaje jedan od najjednostavnijih načina da se ova kategorija napada u potpunosti izbjegne.
Praktični savjeti
Provjerite instalirana proširenja za Chrome i uklonite sve što ne prepoznajete ili što niste namjerno instalirali. Preuzimajte CCleaner, kao i bilo koji uslužni softver, isključivo izravno sa službene web-stranice izdavača, a ne iz rezultata pretraživanja ili središta za preuzimanje trećih strana. Promijenite lozinke za osjetljive račune ako sumnjate da je vaš preglednik ugrožen i razmislite o upotrebi upravitelja lozinki koji je odvojen od pohrane u pregledniku. Pokrenite potpuno antivirusno ili antimalvarno skeniranje na svakom Windows računalu na kojem se nedavno preuzimanje činilo sumnjivim te gdje je moguće omogućite višefaktorsku autentifikaciju putem aplikacije za autentifikaciju umjesto koda koji se upisuje na zaslonu. Oprez prema načinu na koji se GhostDesk Chrome špijunski softver širi lažnim instalacijskim programima jedna je od najučinkovitijih obrana dostupnih običnim korisnicima.
