16 extensiones populares de Chrome, incluida 'Adblock for Chrome', secuestradas en un ciberataque masivo
Una importante brecha de seguridad ha comprometido a más de 3,2 millones de usuarios a través de una red de extensiones de navegador maliciosas. Se descubrió que estas extensiones, que intencionadamente se presentan como legítimas, inyectaban scripts dañinos, robaban datos e incluso participaban en fraudes en motores de búsqueda. Los investigadores de han determinado que el ataque se ejecutó a través de un compromiso de la cadena de suministro, donde los atacantes se infiltraron en extensiones de confianza e impulsaron actualizaciones maliciosas sin que los usuarios se dieran cuenta de que estaba ocurriendo.
Las extensiones en cuestión estaban diseñadas originalmente para el bloqueo de anuncios, teclados emoji y captura de pantalla, por mencionar algunas. Sin embargo, las actualizaciones introdujeron scripts ofuscados que permitían la exfiltración no autorizada de datos, modificaciones en las peticiones HTTP y la inyección de anuncios en las páginas web. Todos estos cambios pasaron desapercibidos para los usuarios que anteriormente habían concedido permisos a estas extensiones, lo que permitió a los atacantes manipular la actividad web en tiempo real. Múltiples expertos en seguridad han señalado que los permisos concedidos a estas extensiones, incluidos los controles de acceso al host y de secuencias de comandos, las hacían especialmente peligrosas.
Aquí tiene la lista completa de las 16 extensiones de Chrome afectadas:
- Blipshot (capturas de pantalla a página completa con un solo clic)
- Emojis - Teclado Emoji
- WAToolkit
- Cambiador de color para YouTube
- Efectos de vídeo para YouTube y potenciador de audio
- Temas para Chrome y YouTube™ Picture in Picture
- Mike Adblock für Chrome | Chrome-Werbeblocker
- Actualizar página
- Descargador de vídeo Wistia
- Modo Superoscuro
- Teclado Emoji para Chrome
- Adblocker para Chrome - NoAds
- Adblock para usted
- Adblock para Chrome
- Captura ágil
- KProxy
Las investigaciones han rastreado este ataque hasta cuentas de desarrolladores comprometidas. Algunos desarrolladores, sin saberlo, acabaron transfiriendo el control de sus extensiones a los atacantes, que a continuación distribuyeron actualizaciones maliciosas a través de las tiendas oficiales de extensiones para navegadores. La infraestructura de este ataque parece estar vinculada a operaciones de phishing conocidas anteriormente. Los actores de la amenaza lo consiguieron explotando permisos como 'host_permissions', 'scripting' y 'declarativeNetRequest'.
Otro aspecto preocupante de esta campaña es su parecido con anteriores ataques a la cadena de suministro, en los que los atacantes utilizan software de confianza como arma para propagar malware. El uso de mecanismos de actualización de las extensiones del navegador permite a los atacantes eludir las medidas de seguridad tradicionales.
Por ahora, las extensiones identificadas han sido retiradas de las plataformas oficiales. En cualquier caso, se recomienda a los usuarios que no se fíen únicamente de las reseñas positivas sobre las extensiones antes de instalar otras nuevas.
