Quando le estensioni di produttività diventano piattaforme di attacco

Le estensioni per browser sono diventate uno dei modi più efficaci per consentire ai criminali di accedere in modo persistente alle attività di navigazione degli utenti. A differenza dei malware tradizionali, le estensioni dannose ereditano la fiducia degli utenti, vengono eseguite all'interno del browser e spesso richiedono soltanto una singola installazione per rimanere sempre attive.

Durante la continua ricerca delle minacce in Chrome Web Store e Microsoft Edge Add-ons Store, LayerX Research (ora parte di Akamai) ha identificato una campagna di estensione per browser coordinata e composta da 32 estensioni dannose, che hanno interessato, nel complesso, oltre 6150 utenti.

A prima vista, le estensioni non sembrano correlate: si presentano come strumenti di produttività, tra cui utility di testo, estensioni per YouTube, assistenti SEO, applicazioni per prendere appunti, lettori linguistici, utility di markdown e altri strumenti vantaggiosi per i browser. Ciascuno di essi utilizza brand diversi e pubblicizza diverse funzionalità.

Dietro questa diversità superficiale, tuttavia, la maggior parte delle estensioni condividono un'infrastruttura quasi identica a indicare che la loro origine proviene da un sistema di sviluppo comune. Inoltre, tutte le estensioni condividono risorse di localizzazione coreane, commenti in lingua coreana e altri elementi di sviluppo. 

Queste caratteristiche comuni rafforzano la nostra convinzione secondo cui le estensioni fanno parte della stessa campagna e sono state sviluppate dallo stesso criminale, sia che si tratti di un gruppo organizzato o di un individuo.

Le prime estensioni associate a questa campagna sono apparse a marzo 2025, con ulteriori estensioni che sono state pubblicate nei mesi successivi.

Invece di ripubblicare la stessa estensione, gli operatori hanno continuamente introdotto nuove varianti basate sulla stessa struttura sottostante.

I ricercatori di LayerX hanno identificato:

• 32 estensioni dannose per browser

• che sono state distribuite tramite:

  • Google Chrome Web Store

  • Microsoft Edge Add-ons Store

• Più di 6150 utenti interessati

Le estensioni vengono spacciate come utility non correlate tra loro, tra cui:

• Conta caratteri

• Utility di markdown

• Estensioni per YouTube

• Strumenti di controllo della velocità dei video

• Strumenti SEO

• Lettori linguistici

• Strumenti per prendere appunti

• Utility di scorrimento

• Assistenti basati sull'intelligenza artificiale

Sebbene le estensioni non sembrino correlate, l'analisi statica ha rivelato che la maggior parte di esse riutilizza elementi quasi identici: service worker in background, logica di telemetria, strutture di storage e gestione della navigazione. Oltre alle risorse di branding e alle loro funzionalità pubblicizzate, l'implementazione sottostante rimane sostanzialmente invariata a indicare che le estensioni sono state generate da un sistema di sviluppo comune.

Nessuna delle singole estensioni appare particolarmente significativa se considerata in modo isolato. Ogni annuncio pubblicizza una funzione di produttività plausibile, utilizza il proprio brand e dispone di una base utenti relativamente piccola. Solo correlando le informazioni degli editori, la somiglianza del codice, l'infrastruttura remota condivisa e il comportamento di runtime, diventa evidente la presenza di una campagna più ampia. 

La Figura 1 illustra come le moderne campagne di estensione per browser possono rimanere nascoste sotto gli occhi di tutti mediante la distribuzione di funzionalità dannose in numerose estensioni apparentemente non correlate.

Invece di incorporare la logica operativa nel pacchetto dell'estensione, la maggior parte delle estensioni recupera un file di configurazione remota dallo stesso endpoint ospitato da jsDelivr (Figura 2)

Una volta scaricata, la configurazione viene analizzata e memorizzata nella cache locale:

L'uso di una configurazione remota aumenta in modo significativo la flessibilità della campagna. Invece di pubblicare una nuova versione dell'estensione tramite Chrome Web Store o Microsoft Edge Add-ons Store, gli operatori possono semplicemente modificare il file di configurazione per cambiare il comportamento dell'estensione e, quindi, aggiornare immediatamente i siti web presi di mira, reindirizzare le destinazioni o la logica della campagna senza attivare un'altra revisione dello store del browser.

Durante la nostra indagine, abbiamo osservato più volte la modifica della configurazione remota. A un certo punto, la configurazione era completamente vuota a indicare una temporanea disattivazione o reimpostazione dell'infrastruttura (Figura 3).

Diversi giorni dopo, la configurazione conteneva le regole necessarie per il reindirizzamento del traffico affiliato. Ciò dimostra che il comportamento della campagna viene gestito attivamente attraverso la configurazione remota anziché essere incorporato staticamente all'interno delle estensioni (Figura 4).

La configurazione scaricata non contiene valori di testo in chiaro. Invece, i nomi host, i payload di reindirizzamento e gli identificatori interni sono codificati in Base64 e ricostruiti in fase di runtime (Figura 5).

La codifica Base64 non fornisce una protezione crittografica e non offre alcun vantaggio funzionale per l'estensione stessa. La soluzione aumenta invece il lavoro necessario per l'ispezione manuale e l'analisi statica automatizzata, nascondendo i domini di destinazione e reindirizzando i payload fino al runtime.

I valori decodificati vengono quindi utilizzati per ricostruire le regole di navigazione applicate al resto dell'esecuzione dell'estensione.

Dopo l'inizializzazione, il service worker in background monitora continuamente le attività di navigazione degli utenti tramite l'API webNavigation (Figura 6).

Poiché ogni navigazione completata viene elaborata, l'estensione osserva in modo efficace la sessione di navigazione di un utente indipendentemente dal fatto che il sito web visitato sia correlato alla funzionalità pubblicizzata dell'estensione (Figura 7).

Quando un hostname corrisponde a una delle regole fornite in remoto, l'estensione richiama chrome.tabs.update() per sostituire in modo invisibile la scheda attiva.

A differenza delle campagne di reindirizzamento codificate, l'URL di destinazione viene ricostruito dinamicamente dalla configurazione scaricata anziché essere incorporato all'interno dell'estensione.

Poiché le destinazioni di reindirizzamento vengono fornite in remoto anziché incorporate nell'estensione, gli operatori possono modificare gli obiettivi della campagna in qualsiasi momento senza pubblicare un nuovo aggiornamento dello store del browser.

https://cdn.jsdelivr.net/gh/chosanghyeon-dev/chosanghyeon-dev@main/cf.json

https://link.coupang.com/a/dUnRI6

https://link.coupang.com/a/ej6z6U

api.pvmf.workers.dev

indie05hacker@gmail.com