Нова шкідлива кампанія експлуатує довіру користувачів до знайомого імені. Дослідники безпеки виявили фальшиве завантаження CCleaner, яке встановлює GhostDesk — зловмисне розширення Chrome, призначене для непомітного збору файлів cookie, збережених облікових даних, натискань клавіш і знімків екрана з інфікованих комп’ютерів Windows. Ця кампанія нагадує, що навіть добре відоме утилітне програмне забезпечення може бути перетворене на зброю, коли зловмисники контролюють джерело завантаження.

Що сталося: фальшива кампанія CCleaner

CCleaner — це широко використовуваний інструмент для очищення тимчасових файлів та оптимізації продуктивності Windows, що робить його привабливою приманкою для кіберзлочинців. У цьому випадку зловмисники запакували GhostDesk в інсталятор, який має виглядати як легітимне завантаження CCleaner. Щойно користувач запускає файл, шкідливе ПЗ розгортає розширення Chrome, яке працює у фоновому режимі, даючи зловмиснику постійну точку опори всередині браузера, а не лише в операційній системі.

Націлюючись безпосередньо на браузер, GhostDesk отримує доступ до одних із найчутливіших даних, які людина генерує в інтернеті: сеанси входу, збережені у файлах cookie, імена користувачів і паролі, збережені в браузері, і навіть діяльність у реальному часі, зафіксовану через натискання клавіш і знімки екрана. Таке поєднання дозволяє зловмиснику потенційно повністю оминути поля пароля, викрадаючи активні сеанси, і з часом створити детальну картину поведінки жертви в інтернеті.

Як GhostDesk працює всередині Chrome

Зловмисні розширення браузера особливо ефективні, оскільки вони працюють із розширеним доступом до всього, що користувач робить у браузері, часто не викликаючи тих самих тривог, що традиційне шкідливе ПЗ для настільних комп’ютерів. Після встановлення GhostDesk не обов’язково постійно звертатися до командного сервера, щоб бути небезпечним. Натомість він може пасивно збирати дані, поки користувач переглядає сторінки, користується банкінгом, робить покупки або входить у робочі облікові записи, а потім вивантажувати цю інформацію з певними інтервалами.

Крадіжка файлів cookie особливо тривожна, оскільки викрадений сеансовий cookie може дозволити зловмиснику видавати себе за користувача, який увійшов, без необхідності знати його пароль. У поєднанні з реєстрацією натискань клавіш і фіксацією знімків екрана GhostDesk здатний перехоплювати облікові дані для облікових записів, які використовують коди багатофакторної автентифікації, введені безпосередньо на вебсторінці, оскільки шкідливе ПЗ може спостерігати за кодом під час його введення, а не перехоплювати його окремо.

Чому розширення браузера стають дедалі більшим ризиком для приватності

Цей інцидент вписується в ширшу тенденцію, за якої браузер, а не операційна система, стає головним полем бою за викрадення даних. Браузери тепер зберігають паролі, платіжну інформацію, історію переглядів і активні сеанси для десятків сервісів одночасно, що робить їх цінною ціллю. Розширення, зокрема, можуть прослизати повз поверхову перевірку, оскільки користувачі звикли надавати їм широкі дозволи для «покращення» перегляду, не завжди перевіряючи, звідки насправді надійшло розширення і що воно робить у фоновому режимі.

Випадок із фальшивим CCleaner також підкреслює, як зловмисники продовжують покладатися на довірені назви програм, а не на маловідомі чи незнайомі програми, щоб підвищити ймовірність того, що жертва без вагань завантажить і запустить файл. Оскільки дедалі більше розповсюдження повсякденного програмного забезпечення зміщується до результатів пошукових систем і сторонніх сайтів завантажень, ризик натрапити на переконливу підробку зростає. Це частина ширшої тенденції, коли зловмисники розміщують шкідливі інструменти навколо законних технологічних екосистем, подібно до того, як державні суб’єкти намагалися формувати та контролювати доступ до новітніх технологій, як-от розробка відкритого штучного інтелекту, у власних стратегічних цілях.

Що це означає для вас

Якщо ви нещодавно завантажили CCleaner з джерела, яке не є офіційним сайтом виробника, варто перевірити встановлені розширення Chrome на наявність чогось незнайомого, а також переглянути диспетчер завдань Chrome на наявність процесів, які ви не розпізнаєте. Оскільки GhostDesk націлений на файли cookie та збережені облікові дані, кожен, хто підозрює зараження, повинен вважати паролі, збережені в браузері, і активні сеанси потенційно скомпрометованими, а не лише операційну систему.

Практичний урок виходить за межі цієї окремої кампанії. Безкоштовне утилітне програмне забезпечення, особливо інструменти, які обіцяють «пришвидшити» або «очистити» ПК, постійно є популярним маскуванням для шкідливого ПЗ, оскільки воно приваблює користувачів, які шукають швидке рішення. Завантаження програмного забезпечення лише з офіційних сайтів виробників, а не з реклами в пошукових системах чи сторонніх сайтів-агрегаторів, залишається одним із найпростіших способів повністю уникнути цієї категорії атак.

Практичні висновки

Перевірте встановлені розширення Chrome і видаліть усе, що ви не впізнаєте або не встановлювали навмисно. Завантажуйте CCleaner або будь-яке утилітне програмне забезпечення лише безпосередньо з офіційного сайту видавця, а не з результатів пошуку чи сторонніх хабів завантажень. Змініть паролі до важливих облікових записів, якщо ви підозрюєте, що ваш браузер було скомпрометовано, і розгляньте використання менеджера паролів, окремого від сховища на основі браузера. Запустіть повне антивірусне або антишкідливе сканування на будь-якому комп’ютері Windows, де нещодавнє завантаження здалося підозрілим, і ввімкніть багатофакторну автентифікацію за допомогою застосунку-автентифікатора, а не коду, введеного на екрані, де це можливо. Пильність щодо того, як шпигунське розширення GhostDesk для Chrome поширюється через фальшиві інсталятори, є одним із найефективніших захистів, доступних звичайним користувачам.