江苏
关键词
恶意软件
威胁行为者采用的攻击链是多阶段且高度复杂的，旨在在破坏浏览器安全的同时逃避检测。GitLab 的报告指出：“威胁行为者使用复杂的多阶段攻击来降低用户浏览器的安全性，然后注入内容，跨越浏览器安全边界，并将恶意代码隐藏在扩展程序之外。”
此次攻击似乎始于 2024 年 7 月，威胁行为者获取了合法扩展程序的访问权，而非直接对其进行破坏。报告表明，原始开发者可能在不知情的情况下将扩展程序的所有权转让给了攻击者，从而为恶意更新提供了直接途径。
到 2024 年 12 月，攻击升级为供应链攻击，涉及对开发者账户的网络钓鱼攻击，使得攻击者能够通过 Chrome 网上应用店推送恶意更新。这些更新引入了脚本，这些脚本能够利用远程存储的动态配置，窃取 HTTP 头部数据和文档对象模型（DOM）内容。
虽然这些扩展程序提供了其宣传的功能，但它们都嵌入了一个通用的恶意框架。GitLab 的调查发现了这些扩展程序中存在一致的服务工作线程功能，包括：
1.安装时进行配置检查，将扩展程序版本和唯一 ID 传输到远程服务器。
2.修改浏览器安全策略，特别是在每个会话访问的前 2000 个网站中去除内容安全策略（CSP）头部。
3.持续发送心跳信号以刷新配置数据，并与攻击者的命令与控制（C2）基础设施保持连接。
GitLab 警告称，去除 CSP 会显著削弱浏览器的安全性，使用户容易受到跨站脚本（XSS）攻击和其他基于注入的漏洞利用。
报告警告道：“这一操作完全移除了恶意扩展程序用户的内容安全策略保护。内容安全策略在防止跨站脚本攻击方面起着重要作用，而扩展程序在未经用户知情同意的情况下降低这种保护，显然违反了 Chrome 网上应用店计划政策。”
对恶意扩展程序基础设施的分析揭示了一个由专用配置服务器组成的网络，每个服务器都与特定的扩展程序相关联。例如：
扩展程序名称
配置服务器
Blipshot（截图工具）
blipshotextension[.]com
表情符号键盘
emojikeyboardextension[.]com
Nimble Capture
api.nimblecapture[.]com
Chrome 广告拦截器
abfc – extension[.]com
KProxy
kproxyservers[.]site
这些配置服务器利用了 BunnyCDN 和 DigitalOcean 的应用程序平台，使用一致的 x – do – app – origin 头部，这表明攻击者通过单个基于云的应用程序部署了所有配置。
此外，还发现一些与攻击相关的脚本嵌入在针对组织的网络钓鱼工具包中，这表明攻击者与参与凭证窃取活动的网络入侵行为者之间可能存在关联。
攻击者通过动态脚本注入确保了长期的持续性。rcx – cd – v3.js 有效载荷使用了一种先进的 JavaScript 混淆技术在浏览器内执行代码。该有效载荷能够对网络请求进行修改，包括：
1.通过在服务工作线程内执行请求来绕过跨源资源共享（CORS）限制。
2.修改广告拦截规则，允许广告域名，同时阻止微软的跟踪服务。
3.向受害者访问的欧洲地区亚马逊产品页面注入包含恶意内容的 iframe 和后台标签。
GitLab 的研究人员怀疑这些活动支持点击欺诈活动、SEO 操纵，甚至可能涉及敏感数据窃取。
谷歌在 2025 年 1 月接到通知，此后已从 Chrome 网上应用店中移除了所有已识别的恶意扩展程序。然而，从应用店中移除扩展程序并不会触发自动卸载。此前安装过这些扩展程序的用户必须手动从浏览器中删除它们。
安全圈
网罗圈内热点 专注网络安全
实时资讯一手掌握！
好看你就分享 有用就点个赞
支持「安全圈」就点个三连吧！
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
