Расширения Chrome, предназначенные для кражи учетных данных, нацелены на корпоративные платформы управления персоналом.

[admin]

В Chrome Web Store были обнаружены вредоносные расширения, маскирующиеся под инструменты повышения производительности и безопасности для корпоративных HR- и ERP-платформ, которые похищали учетные данные для аутентификации или блокировали страницы управления, используемые для реагирования на инциденты безопасности.


Кампанию обнаружила компания Socket, специализирующаяся на кибербезопасности. По ее данным, она выявила пять расширений для Chrome, нацеленных на Workday, NetSuite и SAP SuccessFactors, которые в совокупности были установлены более 2300 раз.


«В рамках этой кампании используются три различных типа атак: утечка cookie-файлов на удаленные серверы, манипулирование DOM для блокировки страниц администрирования безопасности и двусторонняя инъекция cookie-файлов для прямого перехвата сессии», — сообщает Socket .

«Эти расширения ориентированы на одни и те же корпоративные платформы и используют идентичные списки обнаружения инструментов безопасности, шаблоны конечных точек API и структуру кода, что указывает на скоординированную работу, несмотря на то, что они выглядят как отдельные издатели».


Расширения были опубликованы под разными названиями, но, по словам исследователей, они имеют идентичную инфраструктуру, шаблоны кода и целевую аудиторию. Четыре расширения были опубликованы под именем разработчика databycloud1104, а пятое использовало другой бренд под названием Software Access.

Хотя эти расширения затронули всего 2300 пользователей, кража корпоративных учетных данных может подпитывать крупномасштабные атаки с использованием программ-вымогателей и кражу данных.

Представлены как инструменты для корпоративных пользователей.​

По данным Socket, расширения рекламировались пользователям корпоративных HR- и ERP-платформ, представляясь инструментами, предназначенными для повышения производительности, оптимизации рабочих процессов или усиления мер безопасности.


Некоторые из этих расширений, как утверждалось, предоставляли упрощенный доступ к «премиум-инструментам» для Workday, NetSuite и других платформ.


Одно из наиболее популярных расширений, Data By Cloud 2 , было установлено 1000 раз и рекламировалось как панель управления, предлагающая инструменты для массового управления и более быстрый доступ для пользователей, управляющих несколькими корпоративными учетными записями.

Ещё одно расширение, Tool Access 11 , позиционировалось как дополнение, ориентированное на безопасность и ограничивающее доступ к конфиденциальным административным функциям. В описании утверждалось, что расширение может ограничить взаимодействие пользователя со «специальными инструментами» для предотвращения компрометации учётной записи.


Другие расширения в этой группе использовали аналогичную формулировку о предоставлении «доступа» к инструментам и сервисам, запрашивая разрешения, которые, по-видимому, соответствовали корпоративной интеграции.


Однако, по данным Socket, ни одно из расширений не содержало информации об извлечении файлов cookie, утечке учетных данных или блокировке страниц администрирования безопасности. В политиках конфиденциальности расширений также не упоминалось о сборе пользовательских данных.


Анализ расширений, проведенный компанией Socket, показал, что они использовали сочетание вредоносных действий, включая утечку аутентификационных cookie-файлов, блокировку административных страниц и перехват сессий путем внедрения cookie-файлов.


Многочисленные расширения непрерывно извлекали аутентификационные файлы cookie с именем "__session" для целевого домена, содержащие активные токены входа в систему для Workday, NetSuite и SuccessFactors.

Кража файлов cookie "__session".
Источник: Socket

Эти токены передавались на удаленные серверы управления и контроля каждые 60 секунд, что позволяло злоумышленникам сохранять доступ даже после выхода пользователей из системы и повторного входа.

Два расширения, Tool Access 11 и Data By Cloud 2, блокировали доступ к страницам безопасности и реагирования на инциденты в Workday. Используя функцию определения заголовка страницы, расширения либо удаляли контент на страницах, либо перенаправляли администраторов со страниц управления.


«Tool Access 11 предоставляет доступ к 44 административным страницам, включая политики аутентификации, настройку прокси-сервера безопасности, управление диапазонами IP-адресов и управление сессиями», — поясняет Socket.


«Data By Cloud 2 расширяет этот функционал до 56 страниц, добавляя управление паролями, деактивацию учетных записей, двухфакторную аутентификацию устройств и журналы аудита безопасности».


Блокировка доступа к этим страницам может помешать законным администраторам реагировать на инциденты безопасности в случае их обнаружения.

Инструмент Access 11 блокирует доступ к страницам управления безопасностью.
Источник: Socket

Наконец, Socket утверждает, что расширение Software Access реализовало наиболее вредоносное поведение, включив в себя функцию, позволяющую осуществлять двустороннюю манипуляцию с cookie-файлами. Помимо кражи токенов сессии, расширение могло получать украденные cookie-файлы с сервера злоумышленника и внедрять их непосредственно в браузер.

По словам исследователей, устанавливая аутентификационные файлы cookie через C2-сервер, злоумышленники могли перехватывать аутентифицированные сессии без ввода имен пользователей, паролей или кодов многофакторной аутентификации. Компания Socket утверждает, что это позволило мгновенно захватывать учетные записи на целевых корпоративных платформах.


Компания Socket заявляет, что сообщила о наличии этих расширений в Google, и на момент публикации этой статьи, судя по всему, они были удалены.


Всем, кто использовал эти расширения, следует сообщить об этом своим администраторам безопасности для дальнейшего реагирования на инцидент и сменить пароли на целевых платформах.