Egy új kártevőkampány használja ki a felhasználók ismert névbe vetett bizalmát. Biztonsági kutatók azonosítottak egy hamis CCleaner-letöltést, amely a GhostDesk nevű rosszindulatú Chrome-bővítményt telepíti, és arra tervezték, hogy csendben begyűjtse a sütiket, mentett hitelesítő adatokat, billentyűleütéseket és képernyőképeket a fertőzött Windows gépekről. A kampány emlékeztet arra, hogy még a jól ismert segédprogramok is fegyverré válhatnak, ha a támadók ellenőrzik a letöltési forrást.

Mi történt: A hamis CCleaner-kampány

A CCleaner széles körben használt eszköz az ideiglenes fájlok törlésére és a Windows teljesítményének optimalizálására, ami vonzó csalivá teszi a kiberbűnözők számára. Ebben az esetben a támadók a GhostDesk-et egy olyan telepítőbe csomagolták, amely úgy néz ki, mint egy legitim CCleaner-letöltés. Amint a felhasználó futtatja a fájlt, a kártevő egy Chrome-bővítményt telepít, amely a háttérben működik, és a támadónak tartós jelenlétet biztosít a böngészőben, nem csupán az operációs rendszerben.

Azzal, hogy közvetlenül a böngészőt célozza, a GhostDesk hozzáférést szerez az egyik legérzékenyebb adathoz, amelyet egy személy online generál: a sütikben tárolt bejelentkezési munkamenetekhez, a böngészőben mentett felhasználónevekhez és jelszavakhoz, valamint a billentyűleütésekkel és képernyőképekkel rögzített valós idejű tevékenységhez. Ez a kombináció lehetővé teszi a támadó számára, hogy akár teljesen megkerülje a jelszómezőket az aktív munkamenetek eltérítésével, és idővel részletes képet alkosson az áldozat online viselkedéséről.

Hogyan működik a GhostDesk a Chrome-ban

A rosszindulatú böngészőbővítmények különösen hatékonyak, mert emelt szintű hozzáféréssel futnak ahhoz, amit a felhasználó a böngészőben csinál, gyakran anélkül, hogy ugyanazokat a riasztásokat váltanák ki, mint a hagyományos asztali kártevők. Miután a GhostDesk telepítve van, nem kell folyamatosan kommunikálnia egy parancsnoki szerverrel ahhoz, hogy veszélyes legyen. Ehelyett passzívan gyűjtheti az adatokat, miközben a felhasználó böngészik, banki műveleteket végez, vásárol vagy bejelentkezik munkahelyi fiókokba, majd időközönként kiszivárogtathatja ezeket az információkat.

A sütik ellopása különösen aggasztó, mert egy ellopott munkamenet-süti lehetővé teheti a támadó számára, hogy bejelentkezett felhasználónak adja ki magát anélkül, hogy valaha is szüksége lenne a jelszavára. A billentyűleütés-naplózással és képernyőkép-rögzítéssel kombinálva a GhostDesk képes begyűjteni a többtényezős hitelesítési kódokat használó fiókok hitelesítő adatait is, amelyeket közvetlenül egy weboldalra gépelnek be, mivel a kártevő megfigyelheti a kódot, amint beírják, ahelyett, hogy külön kellene elfognia azt.

Miért jelentenek növekvő adatvédelmi kockázatot a böngészőbővítmények

Ez az incidens egy tágabb mintázatba illeszkedik, amelyben a böngésző, nem pedig az operációs rendszer vált az adatlopás elsődleges csataterévé. A böngészők ma már egyszerre tárolnak jelszavakat, fizetési információkat, böngészési előzményeket és aktív munkameneteket több tucat szolgáltatáshoz, ami nagy értékű célponttá teszi őket. A bővítmények különösen könnyen átcsúszhatnak a felületes ellenőrzésen, mert a felhasználók hozzászoktak ahhoz, hogy széles körű engedélyeket adjanak nekik a böngészés „fokozásához”, anélkül hogy mindig ellenőriznék, honnan származik a bővítmény, vagy mit csinál a háttérben.

A hamis CCleaner-eset arra is rávilágít, hogy a támadók továbbra is ismert szoftvernevekre támaszkodnak, nem pedig homályos vagy ismeretlen programokra, hogy növeljék annak esélyét, hogy az áldozat habozás nélkül letölti és futtatja a fájlt. Ahogy a mindennapi szoftverterjesztés egyre inkább a keresőmotorok találatai és a harmadik féltől származó letöltőoldalak felé tolódik, úgy nő a meggyőző hamisítványokkal való találkozás kockázata. Ez egy szélesebb trend része, amelyben a támadók a legitim technológiai ökoszisztémák köré építik a rosszindulatú eszközöket, hasonlóan ahhoz, ahogy az állami szereplők megpróbálták alakítani és ellenőrizni a hozzáférést az olyan feltörekvő technológiákhoz, mint a nyílt forráskódú MI-fejlesztés saját stratégiai céljaik érdekében.

Mit jelent ez Önnek

Ha nemrégiben a hivatalos szállítói webhelytől eltérő forrásból töltötte le a CCleanert, érdemes ellenőrizni a telepített Chrome-bővítményeket bármilyen ismeretlen elem után, valamint átnézni a Chrome feladatkezelőjét a nem felismert folyamatok után. Mivel a GhostDesk a sütiket és a mentett hitelesítő adatokat célozza, mindenki, aki fertőzésre gyanakszik, kezelje a böngészőben tárolt jelszavait és aktív munkameneteit potenciálisan kompromittáltként, nem csupán az operációs rendszerét.

A gyakorlati tanulság túlmutat ezen az egyetlen kampányon. Az ingyenes segédprogramok, különösen a számítógép „felgyorsítását” vagy „tisztítását” ígérő eszközök, következetesen népszerű álcái a kártevőknek, mert a gyors megoldást kereső felhasználókat vonzzák. Ha csak a hivatalos szállítói webhelyekről töltünk le szoftvert, nem pedig keresési hirdetésekből vagy harmadik féltől származó gyűjtőoldalakról, az továbbra is az egyik legegyszerűbb módja annak, hogy teljesen elkerüljük ezt a támadási kategóriát.

Gyakorlati teendők

Ellenőrizze a telepített Chrome-bővítményeket, és távolítsa el mindazt, amit nem ismer fel, vagy nem szándékosan telepített. Csak a hivatalos kiadó webhelyéről töltse le a CCleanert vagy bármely segédprogramot, ne keresési találatokból vagy harmadik féltől származó letöltőközpontokból. Változtassa meg az érzékeny fiókok jelszavait, ha gyanítja, hogy böngészője kompromittálódott, és fontolja meg egy olyan jelszókezelő használatát, amely elkülönül a böngészőalapú tárolástól. Futtasson teljes vírus- vagy kártevő-ellenőrzést minden olyan Windows gépen, ahol egy nemrégiben letöltött fájl gyanúsnak tűnt, és ahol lehetséges, engedélyezze a többtényezős hitelesítést hitelesítő alkalmazással, nem pedig képernyőn beírt kóddal. Az éberség azzal kapcsolatban, hogy a GhostDesk Chrome kémprogram hogyan terjed hamis telepítőkön keresztül, az egyik leghatékonyabb védekezés, amely a hétköznapi felhasználók számára elérhető.