En ny skadlig programvara-kampanj utnyttjar det förtroende användare har för ett välbekant namn. Säkerhetsforskare har identifierat en falsk CCleaner-nedladdning som installerar GhostDesk, en skadlig Chrome-tillägg designad för att tyst skörda cookies, sparade inloggningsuppgifter, tangenttryckningar och skärmbilder från infekterade Windows-datorer. Kampanjen är en påminnelse om att även välkänd programvara kan beväpnas när angripare kontrollerar nedladdningskällan.

Vad som hände: Den falska CCleaner-kampanjen

CCleaner är ett flitigt använt verktyg för att rensa temporära filer och optimera Windows-prestanda, vilket gör det till ett lockande bete för cyberkriminella. I detta fall har angripare paketerat GhostDesk i ett installationsprogram utformat för att se ut som en legitim CCleaner-nedladdning. När en användare kör filen distribuerar skadlig programvara en Chrome-tillägg som arbetar i bakgrunden, vilket ger angriparen ett ihållande fotfäste inuti webbläsaren snarare än bara operativsystemet.

Genom att rikta sig direkt mot webbläsaren får GhostDesk tillgång till en del av den mest känsliga data en person genererar online: inloggningssessioner lagrade i cookies, användarnamn och lösenord sparade i webbläsaren, och till och med realtidsaktivitet som fångas genom tangenttryckningar och skärmbilder. Denna kombination gör att en angripare potentiellt kan kringgå lösenordsfält helt genom att kapa aktiva sessioner, och bygga en detaljerad bild av ett offers onlinebeteende över tid.

Hur GhostDesk fungerar inuti Chrome

Skadliga webbläsartillägg är särskilt effektiva eftersom de körs med förhöjd åtkomst till allt användaren gör i webbläsaren, ofta utan att utlösa samma varningssignaler som traditionell skadlig programvara för stationära datorer. När GhostDesk väl är installerat behöver det inte ständigt kommunicera med en kommandoserver för att vara farligt. Istället kan det passivt samla in data medan användaren surfar, bankar, handlar eller loggar in på arbetskonton, och sedan exfiltrera den informationen med jämna mellanrum.

Cookiestöld är särskilt oroande eftersom en stulen sessionscookie kan låta en angripare utge sig för att vara en inloggad användare utan att någonsin behöva deras lösenord. I kombination med tangenttryckningsloggning och skärmbildsfångst kan GhostDesk fånga inloggningsuppgifter för konton som använder flerfaktorsautentiseringskoder som skrivs direkt i en webbsida, eftersom skadlig programvara kan observera koden när den matas in snarare än att behöva fånga den separat.

Varför webbläsartillägg är en växande integritetsrisk

Denna incident passar in i ett bredare mönster där webbläsaren, inte operativsystemet, har blivit den främsta slagfältet för datastöld. Webbläsare lagrar nu lösenord, betalningsinformation, webbhistorik och aktiva sessioner för dussintals tjänster samtidigt, vilket gör dem till ett högt värde mål. Tillägg i synnerhet kan glida förbi en ytlig granskning eftersom användare är vana vid att ge dem breda behörigheter för att "förbättra" surfandet, utan att alltid verifiera var tillägget faktiskt kommer ifrån eller vad det gör i bakgrunden.

Det falska CCleaner-fallet belyser också hur angripare fortsätter att förlita sig på välkända programvarunamn snarare än obskyra eller okända program för att öka oddsen att ett offer laddar ner och kör filen utan att tveka. Allt eftersom vardaglig programvarudistribution skiftar mot sökmotorresultat och tredjepartsnedladdningssajter, växer risken att stöta på en övertygande förfalskning. Detta är en del av en större trend där angripare positionerar skadliga verktyg kring legitima tekniska ekosystem, liknande hur statsaktörer har försökt forma och kontrollera tillgången till framväxande teknologi som öppen källkods-utveckling av AI för sina egna strategiska syften.

Vad detta betyder för dig

Om du nyligen har laddat ner CCleaner från en annan källa än den officiella leverantörens webbplats, är det värt att kontrollera dina installerade Chrome-tillägg för något okänt, samt granska din Chromes uppgiftshanterare för processer du inte känner igen. Eftersom GhostDesk riktar sig mot cookies och sparade inloggningsuppgifter, bör alla som misstänker infektion behandla sina webbläsarlagrade lösenord och aktiva sessioner som potentiellt komprometterade, inte bara sitt operativsystem.

Den praktiska lärdomen sträcker sig bortom denna enskilda kampanj. Gratis verktygsprogram, särskilt verktyg som lovar att "snabba upp" eller "rengöra" en dator, är en ständigt populär förklädnad för skadlig programvara eftersom de tilltalar användare som söker en snabb lösning. Att endast ladda ner programvara från officiella leverantörers webbplatser, snarare än sökannonser eller tredjepartsaggregator-sajter, är fortfarande ett av de enklaste sätten att helt undvika denna kategori av attacker.

Praktiska åtgärder

Granska dina installerade Chrome-tillägg och ta bort allt du inte känner igen eller inte avsiktligt har installerat. Ladda endast ner CCleaner, eller annan verktygsprogramvara, direkt från utgivarens officiella webbplats snarare än sökresultat eller tredjepartsnedladdningshubbar. Byt lösenord för känsliga konton om du misstänker att din webbläsare har komprometterats, och överväg att använda en lösenordshanterare som är separat från webbläsarbaserad lagring. Kör en fullständig antivirus- eller anti-malware-skanning på alla Windows-datorer där en nyligen nedladdad fil verkade misstänkt, och aktivera flerfaktorsautentisering med en autentiseringsapp snarare än en kod som skrivs på skärmen där det är möjligt. Att vara vaksam på hur GhostDesk Chrome-spionprogramvara sprids genom falska installationsprogram är ett av de mest effektiva försvaren som finns tillgängliga för vanliga användare.