Złośliwe oprogramowanie ModHeader: Google usuwa rozszerzenie z 1,6 mln instalacji

Odkrycie złośliwego oprogramowania ModHeader wymusza usunięcie z Chrome i Edge

Rozszerzenie przeglądarki, któremu ufało ponad 1,6 miliona użytkowników, zostało usunięte z Chrome Web Store oraz Microsoft Edge Add-ons po tym, jak badacze bezpieczeństwa odkryli, że było po cichu dostarczane z oprogramowaniem szpiegującym. ModHeader, popularne narzędzie używane przez deweloperów do edycji nagłówków żądań i odpowiedzi HTTP, zostało oznaczone przez Google jako złośliwe oprogramowanie w wersji 7.0.18. Microsoft poszedł w jego ślady, usuwając rozszerzenie z Edge 3 lipca. Odkrycie, szczegółowo opisane w analizie metodą inżynierii wstecznej przeprowadzonej przez badaczy, którzy zagłębili się w kod rozszerzenia, pokazuje, jak legalne, długo zaufane narzędzie może zostać przekształcone w ukryty mechanizm zbierania danych, bez zauważenia przez większość użytkowników.

Nie był to przypadek oczywiście fałszywego rozszerzenia, które oszukuje ludzi, by je zainstalowali. ModHeader miał lata historii, dużą bazę instalacji i rzeczywiste zastosowanie dla deweloperów stron internetowych i testerów QA, którzy potrzebowali modyfikować nagłówki do celów testowych. Ta właśnie legalność sprawiła, że ukryty kod w wersji 7.0.18 był tak niepokojący.

Co analiza kodu ujawniła w środku

Według analizy złośliwa funkcjonalność nie była domyślnie aktywna. Zamiast tego badacze odkryli coś, co opisuje się jako uśpiony kolektor – ukryty moduł zbudowany do szyfrowania i przesyłania listy odwiedzonych domen, zdolny do śledzenia do 1000 witryn na jedną zainfekowaną przeglądarkę. Zamiast uruchamiać się natychmiast po instalacji, kod pozostawał nieaktywny, czekając na warunek wyzwalający, po czym zaczynał zbierać dane przeglądania i wysyłać je w zaszyfrowanej formie.

Ta uśpiona natura to godny uwagi wybór projektowy. Złośliwe oprogramowanie, które pozostaje ciche, jest trudniejsze do wykrycia przez automatyczne skanery sklepów, trudniejsze do zauważenia podczas pobieżnych przeglądów kodu i trudniejsze do wykrycia przez przeciętnego użytkownika na podstawie codziennego zachowania przeglądarki. Sugeruje to również pewien poziom celowego planowania, a nie nieostrożnego błędu. Ukryty kod miał podobno postać ukrytego SDK wbudowanego w skądinąd normalne, działające rozszerzenie, co oznacza, że ModHeader wciąż działał dokładnie tak, jak reklamowano, do edycji nagłówków, podczas gdy komponent szpiegowski znajdował się pod spodem, zaszyfrowany i poza zasięgiem wzroku.

Dlaczego zaufane narzędzie deweloperskie jest celem o dużej wartości

Rozszerzenia takie jak ModHeader są atrakcyjnymi celami właśnie ze względu na to, kto ich używa. Edytory nagłówków są powszechne wśród deweloperów, inżynierów QA i użytkowników o zacięciu technicznym – osób, które często mają podwyższone uprawnienia, dostęp do wewnętrznych narzędzi lub wzorce przeglądania związane ze środowiskami korporacyjnymi i deweloperskimi. Narzędzie do zbierania domen osadzone w szeroko zainstalowanym narzędziu deweloperskim mogłoby po cichu budować obraz wewnętrznych narzędzi, środowisk testowych i usług zewnętrznych, na których opiera się organizacja – wszystko to bez uruchamiania typowych alertów antywirusowych lub endpointowych, ponieważ samo rozszerzenie było podpisane, dystrybuowane za pośrednictwem oficjalnych sklepów i miało długą historię legalnego użytkowania.

Przypadek ten uwypukla również strukturalny słaby punkt w sposobie, w jaki ufa się rozszerzeniom przeglądarek. Zarówno Chrome, jak i Edge polegają na mieszance automatycznego przeglądu i sygnałów reputacji przy zatwierdzaniu aktualizacji rozszerzeń. Rozszerzenie z 1,6 miliona instalacji i latami czystej historii niesie za sobą ukryty wskaźnik zaufania, który nowe aktualizacje mogą po cichu wykorzystać, zwłaszcza gdy złośliwa funkcjonalność jest zaszyfrowana i uśpiona, a nie natychmiast obserwowalna.

Co to oznacza dla Ciebie

Jeśli masz zainstalowany ModHeader, szczególnie w wersji 7.0.18, najbardziej bezpośrednim krokiem jest usunięcie go z przeglądarki i wyczyszczenie powiązanej pamięci przeglądarki, ponieważ uśpiony kod mógł już być obecny, nawet jeśli jeszcze się nie aktywował. Poza tym konkretnym rozszerzeniem szersza lekcja dotyczy ogólnej higieny rozszerzeń. Rozszerzenia przeglądarek działają ze znacznym dostępem do tego, co przeglądasz, a popularność czy długa historia instalacji nie gwarantują ciągłego bezpieczeństwa, ponieważ każde rozszerzenie może zostać w każdej chwili zaktualizowane o nowy kod.

Kilka nawyków zmniejsza narażenie na tego rodzaju ryzyko. Okresowo przeglądaj zainstalowane rozszerzenia i usuwaj te, których już aktywnie nie używasz. Zwracaj uwagę na zmiany uprawnień po aktualizacjach, ponieważ edytor nagłówków proszący o szeroki nowy dostęp zasługuje na dokładne sprawdzenie. Preferuj rozszerzenia, które są aktywnie utrzymywane i tam, gdzie to możliwe, mają otwarte źródła, dzięki czemu zmiany w kodzie są widoczne dla zewnętrznych recenzentów, a nie ukryte w skompilowanym lub zaciemnionym pakiecie.

Kluczowe wnioski

Przypadek złośliwego oprogramowania ModHeader jest przypomnieniem, że zaufanie do rozszerzeń przeglądarki należy traktować jako proces ciągły, a nie jednorazowy. Rozszerzenie może być bezpieczne przez lata, a potem po cichu się zmienić. Jeśli używasz ModHeader, odinstaluj je i sprawdź, czy nie masz konkretnej oznaczonej wersji. Szerzej, przejrzyj teraz swoje zainstalowane rozszerzenia, usuń wszystko, co zbędne, i śledź oficjalne powiadomienia sklepów od Google i Microsoftu, ponieważ obie firmy zadziałały szybko, gdy tylko ukryty komponent szpiegowski został zidentyfikowany. Bycie na bieżąco z takimi usunięciami to jeden z najprostszych sposobów, aby zachować przeglądarkę i swoje dane pod własną kontrolą.