Ultra sprytna kampania infekowania rozszerzeń do Chrome. Kradną hasła / ciasteczka / inne dane użytkowników. Omijają 2FA.

Ofiarą padła między innymi firma z obszaru cyberbezpieczeństwa – Cyberhaven (tutaj szczegóły całego incydentu).

OK, ale jak się „infekuje rozszerzenie do Chrome”? No więc np. tak:

1. Phishing na pracownika:

2. Phishing był o tyle sprytny, że prowadził do prawdziwej strony logowania Google. Tylko że po zalogowaniu się pojawiało się okno o „nadaniu uprawnień” do zewnętrznej aplikacji (tj. appki atakującego). Pracownik machinalnie kliknął przycisk 'OK’ znany też jako: 'spadać mi z tym okienkiem, mam robotę do zrobienia’ ;)

3. Pracownik miał też w Google włączone 2FA oraz Google Advanced Protection.

I co z tego? Powtarzam, logowanie było na *prawdziwe konto Google* – atakujący nie wykradali danych logowania, ale skłonili pracownika do nadania szerokich uprawnień (do swojego konta) zewnętrznej appce należącej do atakujących.

4. Opublikowanie nowej-złośliwej wersji rozszerzenia
5. Rozszerzenie przeszło security review od Google ❗
6. Liczenie na to, że część użytkowników będzie miała automatycznie zaktualizowane przeglądarki / rozszerzenia

Efekt? Kradzież np. ciasteczek / zalogowanych sesji ofiar. Oznacza to, że nawet jeśli ktoś posiada 2FA (dwuczynnikowe uwierzytelnienie), to i tak można się dostać na jego konto!):

For browsers running the compromised extension during this period, the malicious code could have exfiltrated cookies and authenticated sessions for certain targeted websites.

Całość to element większej kampanii, celującej w różne rozszerzenia Chrome. Monetyzacja następowała najpewniej przez uruchamianie scam-reklam na przejętych kontach FB.

Na koniec garść rad.

✅ Warto minimalizować liczbę rozszerzeń w swojej przeglądarce
✅ Warto wiedzieć, że nawet jeśli mamy 2FA, to niektóre ataki są w stanie to ominąć
✅ Czytaj ewentualne komunikaty pojawiające się po logowaniu i nie klikaj machinalnie 'OK’ na wszystko co Cię irytuje ;)
✅ Żadne 'mechanizmy bezpieczeństwa’ nie zwolnią Cię z myślenia!
✅ Warto od czasu do czasu sprawdzać czy nasze konto Google / FB / TT / … nie posiada zautoryzowanych 'zewnętrznych aplikacji’
✅ Edukuj o takich tematach znajomych

~ms