Una nuova campagna malware sta sfruttando la fiducia che gli utenti ripongono in un nome familiare. I ricercatori di sicurezza hanno identificato un finto download di CCleaner che installa GhostDesk, un'estensione Chrome dannosa progettata per raccogliere silenziosamente cookie, credenziali salvate, sequenze di tasti e screenshot da macchine Windows infette. La campagna ricorda che anche software di utilità molto conosciuti possono essere trasformati in armi quando gli aggressori controllano la fonte di download.

Cosa è successo: la finta campagna CCleaner

CCleaner è uno strumento ampiamente utilizzato per eliminare i file temporanei e ottimizzare le prestazioni di Windows, il che lo rende un'esca allettante per i criminali informatici. In questo caso, gli aggressori hanno confezionato GhostDesk all'interno di un programma di installazione progettato per sembrare un download legittimo di CCleaner. Una volta che l'utente esegue il file, il malware distribuisce un'estensione Chrome che opera in background, dando all'aggressore un punto d'appoggio persistente all'interno del browser anziché solo nel sistema operativo.

Prendendo di mira direttamente il browser, GhostDesk ottiene l'accesso ad alcuni dei dati più sensibili che una persona genera online: sessioni di accesso memorizzate nei cookie, nomi utente e password salvati nel browser e persino l'attività in tempo reale catturata tramite sequenze di tasti e screenshot. Questa combinazione consente a un aggressore di aggirare potenzialmente del tutto i campi password, dirottando sessioni attive, e di costruire un quadro dettagliato del comportamento online della vittima nel tempo.

Come opera GhostDesk dentro Chrome

Le estensioni dannose del browser sono particolarmente efficaci perché vengono eseguite con accesso elevato a tutto ciò che l'utente fa nel browser, spesso senza far scattare gli stessi allarmi del malware desktop tradizionale. Una volta installato GhostDesk, non ha bisogno di comunicare costantemente con un server di comando per essere pericoloso. Può invece raccogliere passivamente dati mentre l'utente naviga, usa servizi bancari, fa acquisti o accede ad account di lavoro, per poi esfiltrare le informazioni a intervalli.

Il furto di cookie è particolarmente preoccupante perché un cookie di sessione rubato può consentire a un aggressore di impersonare un utente che ha effettuato l'accesso senza mai aver bisogno della sua password. Combinato con il keylogging e la cattura di screenshot, GhostDesk è in grado di catturare le credenziali per account che utilizzano codici di autenticazione a più fattori digitati direttamente in una pagina web, poiché il malware può osservare il codice mentre viene inserito invece di doverlo intercettare separatamente.

Perché le estensioni del browser sono un rischio crescente per la privacy

Questo caso rientra in uno schema più ampio in cui il browser, non il sistema operativo, è diventato il principale campo di battaglia per il furto di dati. I browser oggi memorizzano password, informazioni di pagamento, cronologia di navigazione e sessioni attive per decine di servizi contemporaneamente, rendendoli un bersaglio di alto valore. Le estensioni in particolare possono sfuggire a un controllo superficiale perché gli utenti sono abituati a concedere loro ampi permessi per "migliorare" la navigazione, senza sempre verificare da dove provenga davvero l'estensione o cosa stia facendo in background.

Il caso del finto CCleaner evidenzia anche come gli aggressori continuino a fare affidamento su nomi di software noti anziché su programmi oscuri o sconosciuti per aumentare le probabilità che la vittima scarichi ed esegua il file senza esitazione. Man mano che la distribuzione del software di uso quotidiano si sposta verso i risultati dei motori di ricerca e i siti di download di terze parti, cresce il rischio di imbattersi in un falso convincente. Questo fa parte di una tendenza più ampia in cui gli aggressori posizionano strumenti dannosi attorno a ecosistemi tecnologici legittimi, in modo simile a come gli attori statali hanno cercato di modellare e controllare l'accesso alle tecnologie emergenti come lo sviluppo open-source dell'IA per i propri scopi strategici.

Cosa significa per te

Se di recente hai scaricato CCleaner da una fonte diversa dal sito ufficiale del produttore, vale la pena controllare le estensioni Chrome installate per individuare elementi sconosciuti, oltre a esaminare la gestione attività di Chrome per individuare processi che non riconosci. Poiché GhostDesk prende di mira cookie e credenziali salvate, chiunque sospetti un'infezione dovrebbe considerare le password memorizzate nel browser e le sessioni attive come potenzialmente compromesse, non solo il sistema operativo.

La lezione pratica va oltre questa singola campagna. I software di utilità gratuiti, soprattutto gli strumenti che promettono di "velocizzare" o "pulire" un PC, sono da sempre un travestimento popolare per il malware perché attirano gli utenti in cerca di una soluzione rapida. Scaricare software solo dai siti ufficiali dei produttori, anziché da annunci di ricerca o siti aggregatori di terze parti, resta uno dei modi più semplici per evitare del tutto questa categoria di attacchi.

Suggerimenti pratici

Controlla le estensioni Chrome installate e rimuovi tutto ciò che non riconosci o che non hai installato intenzionalmente. Scarica CCleaner, o qualsiasi software di utilità, direttamente dal sito ufficiale dell'editore anziché dai risultati di ricerca o dai portali di download di terze parti. Cambia le password degli account sensibili se sospetti che il tuo browser sia stato compromesso e valuta di usare un gestore di password separato dall'archiviazione basata sul browser. Esegui una scansione antivirus o antimalware completa su qualsiasi macchina Windows in cui un download recente è sembrato sospetto e, dove possibile, attiva l'autenticazione a più fattori usando un'app di autenticazione piuttosto che un codice digitato sullo schermo. Restare vigili su come lo spyware GhostDesk per Chrome si diffonde attraverso falsi installatori è una delle difese più efficaci a disposizione degli utenti comuni.