O nouă campanie de malware exploatează încrederea pe care utilizatorii o acordă unui nume familiar. Cercetătorii în securitate au identificat un descărcător fals de CCleaner care instalează GhostDesk, o extensie Chrome malițioasă concepută să colecteze în liniște cookie-uri, credențiale salvate, apăsări de taste și capturi de ecran de pe mașinile Windows infectate. Campania este un memento că până și software-ul utilitar bine-cunoscut poate fi transformat în armă atunci când atacatorii controlează sursa de descărcare.

Ce s-a întâmplat: campania CCleaner falsă

CCleaner este un instrument utilizat pe scară largă pentru a șterge fișierele temporare și a optimiza performanța Windows, ceea ce îl face o momeală atractivă pentru infractorii cibernetici. În acest caz, atacatorii au inclus GhostDesk într-un instalator conceput să arate ca o descărcare legitimă de CCleaner. Odată ce utilizatorul rulează fișierul, malware-ul implementează o extensie Chrome care operează în fundal, oferindu-i atacatorului un punct de sprijin persistent în interiorul browserului, nu doar în sistemul de operare.

Vizând direct browserul, GhostDesk obține acces la unele dintre cele mai sensibile date pe care o persoană le generează online: sesiuni de autentificare stocate în cookie-uri, nume de utilizator și parole salvate în browser și chiar activitate în timp real capturată prin apăsări de taste și capturi de ecran. Această combinație permite unui atacator să ocolească potențial câmpurile de parole prin deturnarea sesiunilor active și să construiască o imagine detaliată a comportamentului online al victimei în timp.

Cum operează GhostDesk în Chrome

Extensiile de browser malițioase sunt deosebit de eficiente pentru că rulează cu acces extins la tot ceea ce face utilizatorul în browser, adesea fără să declanșeze aceleași alarme ca malware-ul desktop tradițional. Odată instalat GhostDesk, acesta nu trebuie să comunice constant cu un server de comandă pentru a fi periculos. În schimb, poate colecta pasiv date în timp ce utilizatorul navighează, face operațiuni bancare, cumpărături sau se autentifică în conturi de la locul de muncă, apoi poate exfiltra aceste informații la intervale.

Furtul de cookie-uri este deosebit de îngrijorător pentru că un cookie de sesiune furat poate permite unui atacator să se dea drept utilizator autentificat fără a avea nevoie vreodată de parola acestuia. Combinat cu înregistrarea tastelor și captura de ecran, GhostDesk este capabil să captureze credențiale pentru conturi care folosesc coduri de autentificare cu mai mulți factori introduse direct într-o pagină web, deoarece malware-ul poate observa codul în timp ce este introdus, fără a fi nevoie să îl intercepteze separat.

De ce extensiile de browser reprezintă un risc tot mai mare pentru confidențialitate

Acest incident se înscrie într-un tipar mai larg în care browserul, nu sistemul de operare, a devenit principalul câmp de luptă pentru furtul de date. Browserele stochează acum parole, informații de plată, istoric de navigare și sesiuni active pentru zeci de servicii simultan, ceea ce le transformă într-o țintă de mare valoare. Extensiile, în special, pot trece neobservate la o verificare superficială, pentru că utilizatorii sunt obișnuiți să le acorde permisiuni largi pentru a „îmbunătăți” navigarea, fără să verifice întotdeauna de unde provine extensia sau ce face în fundal.

Cazul CCleaner fals evidențiază, de asemenea, modul în care atacatorii continuă să se bazeze pe nume de software de încredere, mai degrabă decât pe programe obscure sau necunoscute, pentru a crește șansele ca victima să descarce și să ruleze fișierul fără ezitare. Pe măsură ce distribuția de software de zi cu zi se mută tot mai mult către rezultatele motoarelor de căutare și site-urile de descărcare terțe, riscul de a întâlni un fals convingător crește. Aceasta face parte dintr-o tendință mai largă în care atacatorii poziționează instrumente malițioase în jurul ecosistemelor tehnologice legitime, similar modului în care actori statali au încercat să modeleze și să controleze accesul la tehnologii emergente precum dezvoltarea open-source a IA în scopuri strategice proprii.

Ce înseamnă asta pentru tine

Dacă ați descărcat recent CCleaner dintr-o altă sursă decât site-ul oficial al vânzătorului, merită să verificați extensiile Chrome instalate pentru orice element necunoscut și să analizați managerul de activități Chrome pentru procese pe care nu le recunoașteți. Deoarece GhostDesk vizează cookie-urile și credențialele salvate, oricine suspectează o infecție ar trebui să trateze parolele stocate în browser și sesiunile active ca potențial compromise, nu doar sistemul de operare.

Lecția practică depășește această singură campanie. Software-ul utilitar gratuit, în special uneltele care promit să „accelereze” sau să „curețe” un PC, este o deghizare constant populară pentru malware, deoarece atrage utilizatorii care caută o soluție rapidă. Descărcarea de software doar de pe site-urile oficiale ale vânzătorilor, mai degrabă decât din anunțuri de căutare sau site-uri agregatoare terțe, rămâne una dintre cele mai simple modalități de a evita complet această categorie de atac.

Măsuri practice

Verificați extensiile Chrome instalate și eliminați orice nu recunoașteți sau nu ați instalat intenționat. Descărcați CCleaner sau orice alt software utilitar doar direct de pe site-ul oficial al editorului, nu din rezultatele căutărilor sau de pe hub-uri de descărcare terțe. Schimbați parolele pentru conturile sensibile dacă suspectați că browserul dvs. a fost compromis și luați în considerare utilizarea unui manager de parole separat de stocarea bazată pe browser. Rulați o scanare completă antivirus sau anti-malware pe orice mașină Windows unde o descărcare recentă a părut suspectă și activați autentificarea cu mai mulți factori folosind o aplicație de autentificare, mai degrabă decât un cod introdus pe ecran, acolo unde este posibil. Rămânerea atentă la modul în care spyware-ul Chrome GhostDesk se răspândește prin instalatori falși este una dintre cele mai eficiente măsuri de apărare disponibile pentru utilizatorii obișnuiți.