Nowa kampania złośliwego oprogramowania wykorzystuje zaufanie, jakim użytkownicy darzą znaną nazwę. Badacze bezpieczeństwa zidentyfikowali fałszywy instalator CCleaner, który instaluje GhostDesk — złośliwe rozszerzenie Chrome zaprojektowane do cichego zbierania plików cookie, zapisanych danych logowania, naciśnięć klawiszy i zrzutów ekranu z zainfekowanych komputerów z systemem Windows. Kampania ta przypomina, że nawet dobrze znane oprogramowanie narzędziowe może zostać wykorzystane jako broń, gdy atakujący kontrolują źródło pobierania.

Co się wydarzyło: fałszywa kampania CCleaner

CCleaner to szeroko używane narzędzie do czyszczenia plików tymczasowych i optymalizacji wydajności systemu Windows, co czyni go atrakcyjną przynętą dla cyberprzestępców. W tym przypadku atakujący umieścili GhostDesk w instalatorze zaprojektowanym tak, aby wyglądał jak legalne pobranie CCleaner. Gdy użytkownik uruchomi plik, złośliwe oprogramowanie wdraża rozszerzenie Chrome działające w tle, dając atakującemu trwały punkt zaczepienia w przeglądarce, a nie tylko w systemie operacyjnym.

Atakując bezpośrednio przeglądarkę, GhostDesk uzyskuje dostęp do jednych z najbardziej wrażliwych danych, jakie użytkownik generuje online: sesji logowania przechowywanych w plikach cookie, nazw użytkowników i haseł zapisanych w przeglądarce, a nawet aktywności w czasie rzeczywistym rejestrowanej przez naciśnięcia klawiszy i zrzuty ekranu. Takie połączenie pozwala atakującemu potencjalnie całkowicie ominąć pola haseł, przechwytując aktywne sesje, oraz budować szczegółowy obraz zachowania ofiary w internecie na przestrzeni czasu.

Jak GhostDesk działa w Chrome

Złośliwe rozszerzenia przeglądarek są szczególnie skuteczne, ponieważ działają z podwyższonym dostępem do wszystkiego, co użytkownik robi w przeglądarce, często nie wywołując takich samych alarmów jak tradycyjne złośliwe oprogramowanie komputerowe. Po zainstalowaniu GhostDesk nie musi stale komunikować się z serwerem dowodzenia, aby być niebezpieczny. Zamiast tego może pasywnie zbierać dane, gdy użytkownik przegląda internet, korzysta z bankowości, robi zakupy lub loguje się do kont służbowych, a następnie wykradać te dane co pewien czas.

Kradzież plików cookie jest szczególnie niepokojąca, ponieważ skradziony plik cookie sesji może pozwolić atakującemu podszyć się pod zalogowanego użytkownika bez konieczności znajomości jego hasła. W połączeniu z rejestrowaniem naciśnięć klawiszy i przechwytywaniem zrzutów ekranu GhostDesk potrafi przechwytywać dane logowania do kont korzystających z kodów uwierzytelniania wieloskładnikowego wpisywanych bezpośrednio na stronie internetowej, ponieważ złośliwe oprogramowanie może obserwować kod podczas jego wpisywania, zamiast przechwytywać go osobno.

Dlaczego rozszerzenia przeglądarek stanowią rosnące zagrożenie dla prywatności

Ten incydent wpisuje się w szerszy schemat, w którym to przeglądarka, a nie system operacyjny, stała się głównym polem bitwy o kradzież danych. Przeglądarki przechowują obecnie hasła, informacje o płatnościach, historię przeglądania i aktywne sesje dla dziesiątek usług naraz, co czyni je bardzo wartościowym celem. Rozszerzenia w szczególności mogą umknąć pobieżnej kontroli, ponieważ użytkownicy są przyzwyczajeni do przyznawania im szerokich uprawnień w celu „ulepszenia” przeglądania, nie zawsze sprawdzając, skąd naprawdę pochodzi rozszerzenie ani co robi w tle.

Sprawa fałszywego CCleanera pokazuje również, że atakujący nadal polegają na zaufanych nazwach oprogramowania, a nie na mało znanych lub nieznanych programach, aby zwiększyć prawdopodobieństwo, że ofiara pobierze i uruchomi plik bez wahania. W miarę jak dystrybucja codziennego oprogramowania coraz częściej odbywa się przez wyniki wyszukiwarek i zewnętrzne serwisy pobierania, rośnie ryzyko natrafienia na przekonującą podróbkę. Jest to część szerszego trendu, w którym atakujący umieszczają złośliwe narzędzia wokół legalnych ekosystemów technologicznych, podobnie jak podmioty państwowe próbowały kształtować i kontrolować dostęp do powstających technologii, takich jak rozwój sztucznej inteligencji open source, dla własnych celów strategicznych.

Co to oznacza dla Ciebie

Jeśli niedawno pobrano CCleaner ze źródła innego niż oficjalna witryna producenta, warto sprawdzić zainstalowane rozszerzenia Chrome pod kątem czegokolwiek nieznajomego, a także przejrzeć menedżer zadań Chrome w poszukiwaniu procesów, których nie rozpoznajesz. Ponieważ GhostDesk atakuje pliki cookie i zapisane dane logowania, każdy, kto podejrzewa infekcję, powinien traktować hasła przechowywane w przeglądarce i aktywne sesje jako potencjalnie przejęte, a nie tylko system operacyjny.

Praktyczna lekcja wykracza poza tę pojedynczą kampanię. Darmowe oprogramowanie narzędziowe, zwłaszcza narzędzia obiecujące „przyspieszyć” lub „wyczyścić” komputer, to stale popularna przykrywka dla złośliwego oprogramowania, ponieważ trafia do użytkowników szukających szybkich rozwiązań. Pobieranie oprogramowania wyłącznie z oficjalnych witryn producentów, zamiast z reklam w wyszukiwarkach lub zewnętrznych witryn agregujących, pozostaje jednym z najprostszych sposobów całkowitego uniknięcia tej kategorii ataków.

Praktyczne wskazówki

Sprawdź zainstalowane rozszerzenia Chrome i usuń wszystko, czego nie rozpoznajesz lub czego nie instalowałeś świadomie. Pobieraj CCleaner lub jakiekolwiek oprogramowanie narzędziowe wyłącznie bezpośrednio z oficjalnej witryny wydawcy, zamiast z wyników wyszukiwania lub zewnętrznych serwisów z programami. Zmień hasła do wrażliwych kont, jeśli podejrzewasz, że Twoja przeglądarka została przejęta, i rozważ korzystanie z menedżera haseł oddzielonego od pamięci przeglądarki. Przeprowadź pełne skanowanie antywirusowe lub antymalware na każdym komputerze z systemem Windows, na którym niedawne pobranie wydawało się podejrzane, i włącz uwierzytelnianie wieloskładnikowe przy użyciu aplikacji uwierzytelniającej zamiast kodu wpisywanego na ekranie, jeśli to możliwe. Zachowanie czujności wobec sposobu, w jaki oprogramowanie szpiegujące GhostDesk dla Chrome rozprzestrzenia się przez fałszywe instalatory, jest jedną z najskuteczniejszych form obrony dostępnych dla zwykłych użytkowników.