I ricercatori di sicurezza di ReasonLabs hanno scoperto una nuova, diffusa e continua campagna di malware polimorfico che installa forzatamente estensioni del browser dannose sugli endpoint.
Il programma di installazione e le estensioni, che si stanno diffondendo a livello globale, hanno avuto un impatto su almeno 300.000 utenti su Google Chrome e Microsoft Edge, modificando gli eseguibili del browser per dirottare le home page e rubare la cronologia di navigazione.
Il malware trojan, che solitamente non viene rilevato dagli strumenti antivirus, contiene diversi elementi, che vanno da semplici estensioni adware che prendono il controllo delle ricerche a script dannosi più complessi che forniscono estensioni locali per rubare dati privati ed eseguire vari comandi sui dispositivi infetti.
Dal 2021, questo malware trojan è stato creato tramite siti Web contraffatti che forniscono download e componenti aggiuntivi per giochi e video online.
Come funziona il malware
ReasonLabs ha affermato che l’infezione inizia con le vittime che scaricano programmi di installazione software tramite falsi siti Web commercializzati tramite malvertising nei risultati di ricerca di Google. Gli inserzionisti utilizzano imitazioni di siti di download come Roblox FPS Unlocker, YouTube, VLC Media Player o KeePass. Gli eseguibili scaricati da questi falsi siti Web non tentano nemmeno di installare il software previsto, ma distribuiscono invece trojan.
“Una volta che un utente scarica il programma dal sito Web simile, il programma registra un’attività pianificata utilizzando uno pseudonimo che segue lo schema del nome di un file di script di PowerShell, come Updater_PrivacyBlocker_PR1, MicrosoftWindowsOptimizerUpdateTask_PR1 e NvOptimizerTaskUpdater_V2”, affermano i ricercatori di ReasonLabs.
“È configurato per eseguire uno script PowerShell con un nome simile “-File C:/Windows/System32/NvWinSearchOptimizer.ps1″. Lo script PowerShell scarica un payload da un server remoto e lo esegue sulla macchina.”
Lo script PowerShell viene scritto nella cartella system32, che richiama uno script di seconda fase dal C2 direttamente nella memoria. Quando lo script PowerShell viene finalmente eseguito, aggiunge valori di registro per forzare l’installazione di estensioni dannose. Queste estensioni rubano le query di ricerca e le reindirizzano tramite la ricerca dell’avversario, rendendole non rilevabili anche con la modalità sviluppatore ‘ON’.
Lo script installa quindi estensioni dannose modificando le chiavi di registro di Chrome ed Edge, rendendone ancora più difficile la disattivazione tramite le normali impostazioni del browser. Le estensioni eseguono diverse attività dannose, tra cui il dirottamento delle ricerche da motori di ricerca noti e il loro reindirizzamento tramite domini controllati dagli aggressori prima di mostrare finalmente i risultati da motori di ricerca legittimi come Yahoo o Bing.
ReasonLabs segnala che le iterazioni più recenti del Trojan modificano i file DLL del browser principale utilizzati da Google Chrome e Microsoft Edge per catturare la home page del browser in una sotto il controllo dell’autore della minaccia, come https://microricerca[.]Me/.
“Lo scopo di questo script è individuare le DLL dei browser (msedge.dll se Edge è quello predefinito) e modificare byte specifici in posizioni specifiche al loro interno”, spiega ReasonLabs.
“In questo modo, lo script può dirottare la ricerca predefinita da Bing o Google al portale di ricerca dell’avversario. Controlla quale versione del browser è installata e cerca i byte di conseguenza.”
Il ReasonLabs Research Team ha prontamente avvisato Google e Microsoft dopo aver scoperto la violazione. Mentre Microsoft ha rimosso tutte le estensioni dannose identificate dal suo Edge Add-ons Store, alcune estensioni implicate sono ancora presenti sul Google Chrome Web Store.
Nel frattempo, si consiglia agli utenti di scaricare estensioni solo da fonti attendibili, di fare attenzione a non scaricare software da siti web sconosciuti e di mantenere aggiornato il proprio software antivirus.