En ny skadevarekampanje utnytter tilliten brukerne har til et kjent navn. Sikkerhetsforskere har identifisert en falsk CCleaner-nedlasting som installerer GhostDesk, en ondsinnet Chrome-utvidelse designet for å i det stille høste informasjonskapsler, lagrede påloggingsdetaljer, tastetrykk og skjermbilder fra infiserte Windows-maskiner. Kampanjen er en påminnelse om at selv velkjent verktøyprogramvare kan bli gjort om til et våpen når angripere kontrollerer nedlastingskilden.

Hva som skjedde: Den falske CCleaner-kampanjen

CCleaner er et mye brukt verktøy for å fjerne midlertidige filer og optimalisere Windows-ytelsen, noe som gjør det til et fristende lokkemiddel for nettkriminelle. I dette tilfellet har angripere pakket GhostDesk inn i en installasjonsfil som er utformet for å se ut som en legitim CCleaner-nedlasting. Når en bruker kjører filen, distribuerer skadevaren en Chrome-utvidelse som opererer i bakgrunnen og gir angriperen et vedvarende fotfeste i nettleseren i stedet for bare i operativsystemet.

Ved å rette seg direkte mot nettleseren får GhostDesk tilgang til noen av de mest sensitive dataene en person genererer på nettet: påloggingsøkter lagret i informasjonskapsler, brukernavn og passord lagret i nettleseren, og til og med sanntidsaktivitet fanget opp gjennom tastetrykk og skjermbilder. Denne kombinasjonen gjør at en angriper potensielt kan omgå passordfelt helt ved å kapre aktive økter, og bygge et detaljert bilde av offerets atferd på nettet over tid.

Hvordan GhostDesk opererer inne i Chrome

Ondsinnede nettleserutvidelser er spesielt effektive fordi de kjører med utvidet tilgang til alt brukeren gjør i nettleseren, ofte uten å utløse de samme alarmene som tradisjonell skadevare på datamaskinen. Når GhostDesk er installert, trenger den ikke å kommunisere konstant med en kommandoserver for å være farlig. I stedet kan den passivt samle inn data mens brukeren surfer, bruker banktjenester, handler eller logger på jobbkontoer, og deretter eksfiltrere informasjonen med mellomrom.

Tyveri av informasjonskapsler er spesielt bekymringsfullt fordi en stjålet sesjonskapsel kan la en angriper utgi seg for å være en pålogget bruker uten noen gang å trenge passordet. Kombinert med tastetrykkslogging og skjermbildeopptak er GhostDesk i stand til å fange opp påloggingsinformasjon for kontoer som bruker flerfaktorautentiseringskoder skrevet direkte inn på en nettside, siden skadevaren kan observere koden idet den tastes inn i stedet for å måtte avskjære den separat.

Hvorfor nettleserutvidelser er en økende personvernrisiko

Denne hendelsen passer inn i et bredere mønster der nettleseren, ikke operativsystemet, har blitt den primære slagmarken for datatyveri. Nettlesere lagrer nå passord, betalingsinformasjon, nettleserhistorikk og aktive økter for dusinvis av tjenester samtidig, noe som gjør dem til et høyverdig mål. Spesielt utvidelser kan slippe gjennom overfladisk kontroll fordi brukere er vant til å gi dem brede tillatelser for å «forbedre» surfing, uten alltid å undersøke hvor utvidelsen faktisk kom fra eller hva den gjør i bakgrunnen.

Saken med den falske CCleaner viser også hvordan angripere fortsetter å stole på pålitelige programvarenavn fremfor obskure eller ukjente programmer for å øke sjansen for at offeret laster ned og kjører filen uten å nøle. Etter hvert som mer hverdagslig programvaredistribusjon flyttes over til søkemotorresultater og tredjeparts nedlastingssider, vokser risikoen for å møte en overbevisende forfalskning. Dette er en del av en større trend der angripere posisjonerer ondsinnede verktøy rundt legitime teknologiøkosystemer, på samme måte som nasjonalstatsaktører har forsøkt å forme og kontrollere tilgangen til fremvoksende teknologi som utvikling av åpen kildekode-KI for egne strategiske formål.

Hva dette betyr for deg

Hvis du nylig har lastet ned CCleaner fra en annen kilde enn leverandørens offisielle nettsted, er det verdt å sjekke de installerte Chrome-utvidelsene dine for noe ukjent, og gå gjennom Chromes oppgavebehandling for prosesser du ikke kjenner igjen. Fordi GhostDesk retter seg mot informasjonskapsler og lagrede påloggingsdetaljer, bør alle som mistenker infeksjon behandle passordene og de aktive øktene som er lagret i nettleseren som potensielt kompromitterte, ikke bare operativsystemet.

Den praktiske lærdommen strekker seg ut over denne ene kampanjen. Gratis verktøyprogramvare, spesielt verktøy som lover å «øke hastigheten» eller «rense» en PC, er en gjennomgående populær forkledning for skadevare fordi den appellerer til brukere som leter etter en rask løsning. Å laste ned programvare kun fra offisielle leverandørnettsteder, i stedet for søkeannonser eller tredjeparts samlesider, er fortsatt en av de enkleste måtene å unngå denne typen angrep helt på.

Konkrete tiltak

Gå gjennom de installerte Chrome-utvidelsene dine og fjern alt du ikke kjenner igjen eller ikke installerte med vilje. Last ned CCleaner, eller annen verktøyprogramvare, kun direkte fra den offisielle utgiverens nettsted i stedet for søkeresultater eller tredjeparts nedlastingssentraler. Bytt passord for sensitive kontoer hvis du mistenker at nettleseren din er kompromittert, og vurder å bruke en passordbehandler som er atskilt fra nettleserbasert lagring. Kjør en fullstendig antivirus- eller antimalware-skanning på enhver Windows-maskin der en nylig nedlasting virket mistenkelig, og aktiver flerfaktorautentisering ved hjelp av en autentiseringsapp i stedet for en kode som skrives på skjermen der det er mulig. Å være oppmerksom på hvordan GhostDesk Chrome-spionvare sprer seg gjennom falske installasjonsfiler er et av de mest effektive forsvarene som er tilgjengelige for vanlige brukere.