16 populaire Chrome-extensies waaronder 'Adblock for Chrome' gekaapt in grootschalige cyberaanval

Een groot beveiligingslek heeft meer dan 3,2 miljoen gebruikers in gevaar gebracht via een netwerk van kwaadaardige browserextensies. Deze extensies, die opzettelijk legitiem lijken, bleken schadelijke scripts te injecteren, gegevens te stelen en zelfs te frauderen met zoekmachines. Onderzoekers hebben vastgesteld dat de aanval werd uitgevoerd door middel van een inbreuk op de toeleveringsketen, waarbij de aanvallers vertrouwde extensies infiltreerden en schadelijke updates pushten zonder dat gebruikers doorhadden dat dit gebeurde.

De extensies in kwestie waren oorspronkelijk ontworpen voor advertentieblokkering, emoji-toetsenborden en schermopname, om er maar een paar te noemen. De updates introduceerden echter versleutelde scripts die ongeoorloofde exfiltratie van gegevens, wijziging van HTTP-verzoeken en injectie van advertenties in webpagina's mogelijk maakten. Al deze wijzigingen werden niet opgemerkt door gebruikers die eerder machtigingen hadden verleend aan deze extensies, waardoor aanvallers de webactiviteit in realtime konden manipuleren. Meerdere beveiligingsexperts hebben erop gewezen dat de machtigingen die aan deze extensies waren toegekend, waaronder hosttoegang en scriptingcontrole, ze bijzonder gevaarlijk maakten.

Hier is de volledige lijst van alle 16 getroffen Chrome-extensies:

• Blipshot (met één klik volledige schermafbeeldingen maken)
• Emojis - Emoji-toetsenbord
• WAToolkit
• Kleurwisselaar voor YouTube
• Video-effecten voor YouTube en audioverbeteraar
• Thema's voor Chrome en YouTube™ Beeld in beeld
• Mike Adblock voor Chrome | Chrome-Werbeblocker
• Pagina Vernieuwen
• Wistia Video Downloader
• Super donkere modus
• Emoji-toetsenbord voor Chrome
• Adblocker voor Chrome - NoAds
• Adblock voor u
• Adblock voor Chrome
• Behendig vastleggen
• KProxy

Onderzoeken hebben deze aanval getraceerd naar gecompromitteerde ontwikkelaarsaccounts. Sommige ontwikkelaars droegen uiteindelijk onbewust de controle over hun extensies over aan de aanvallers, die vervolgens schadelijke updates verspreidden via officiële winkels voor browserextensies. De infrastructuur van deze aanval lijkt verband te houden met eerder bekende phishing-activiteiten. De bedreigers bereikten dit door misbruik te maken van machtigingen zoals 'host_permissions', 'scripting' en 'declarativeNetRequest'.

Een ander verontrustend aspect van deze campagne is de gelijkenis met eerdere toevoerketenaanvallen, waarbij aanvallers vertrouwde software als wapen gebruiken om malware te verspreiden. Door het gebruik van update-mechanismen voor browserextensies kunnen aanvallers traditionele beveiligingsmaatregelen omzeilen.

Voorlopig zijn de geïdentificeerde extensies verwijderd van officiële platforms. Gebruikers wordt echter geadviseerd om niet alleen op positieve recensies over extensies te vertrouwen voordat ze nieuwe extensies installeren.