La linea tra utilità e minaccia diventa sempre più sottile: una recente indagine condotta da DomainTools ha svelato una campagna malware altamente sofisticata che coinvolge oltre 100 estensioni per Google Chrome.
Queste estensioni per browser, apparentemente innocue, offrono funzionalità legittime, come strumenti di produttività o assistenti AI, ma celano un secondo volto molto più pericoloso.
“Le estensioni hanno in genere una doppia funzionalità: sembrano funzionare come previsto, ma si connettono anche a server dannosi per inviare dati utente, ricevere comandi ed eseguire codice arbitrario”, si legge nel rapporto pubblicato dai ricercatori.
Indice degli argomenti
Il doppio gioco delle estensioni
Secondo quanto riportato, queste estensioni distribuite dall’attore delle minacce almeno da febbraio 2024, sarebbero state progettate per sembrare utili e professionali ma, una volta installate, si attiverebbero silenziosamente in background.
“Le estensioni analizzate sembrano avere funzionalità funzionanti o parzialmente funzionanti e sono solitamente configurate con autorizzazioni eccessive per interagire con ogni sito visitato dal browser e recuperare ed eseguire codice arbitrario da una rete di altri domini controllati da attori”, spiegano gli analisti.
Al riguardo, i ricercatori hanno pubblicato i dettagli di alcune delle estensioni dannose scoperte, puntando i riflettori sulle tecniche impiegate per i reindirizzamenti dannosi, iniezione di annunci, tracciamento e per mantenere la connettività ai server backend e inviare messaggi di reporting.
Tra le attività malevole riscontrate ci sarebbero:
- esecuzione di codice arbitrario;
- furto di dati sensibili;
- intercettazione di sessioni utente e credenziali;
- comunicazione con server C2 (Comando e Controllo) per ricevere comandi in tempo reale.
Le estensioni malevole che richiedono spesso permessi sproporzionati rispetto alle loro reali funzioni utilizzano anche tecniche avanzate per aggirare le protezioni del browser, come sfruttare eventi DOM (ad es., onreset) per eludere le Content Security Policy (CSP) e iniettare codice dannoso.
Distribuzione attraverso siti falsi
Come spiegato da DomainTools, i criminali informatici dietro questa campagna avrebbero creato falsi siti web che imitano servizi popolari come DeepSeek AI, FortiVPN e DeBank, che inducono gli utenti a scaricare le estensioni infette direttamente dal Chrome Web Store, sfruttando il senso di fiducia legato alla piattaforma ufficiale di Google.
Fonte: DomainTools.
Fonte: DomainTools.
Di seguito, un elenco parziale delle estensioni e dei domini coinvolti in questa campagna:
- VPN false:
- earthvpn[.]top
- irontunnel[.]world
- iron-tunnel[.]com
- raccoon-vpn[.]world
- orchid-vpn[.]com
- soul-vpn[.]com
- Imitazioni di marchi noti:
- forti-vpn[.]com
- fortivnp[.]com
- youtube-vision[.]com
- youtube-vision[.]world
- deepseek-ai[.]link
- calendlydaily[.]world
- calendlydocker[.]com
- calendly-director[.]com
- debank-extension[.]world
- debank[.]sbsdebank[.]click
- Altri domini sospetti:
- whale-alerts[.]org
- whale-alert[.]life
- madgicxads[.]world
- madgicx-plus[.]com
- similar-net[.]com
- workfront-plus[.]com
- flight-radar[.]life
Cosa fare per proteggersi
Il caso delle estensioni Chrome malevole evidenzia un rischio ormai concreto: anche ciò che appare affidabile, come un’estensione presente nello store ufficiale di Google, può celare minacce gravi per la privacy, la sicurezza e l’integrità dei dati personali.
L’abilità dei cyber criminali nel creare strumenti dall’aspetto legittimo rende necessaria una nuova consapevolezza digitale da parte degli utenti.
Navigare in rete in modo sicuro ormai deve significare sviluppare un senso critico verso ogni installazione, richiesta di permessi o promesse troppo convenienti, rammentando che in un mondo digitale sempre più interconnesso, tutti noi rappresentiamo la prima linea di difesa.
“Il Chrome Web Store ha rimosso diverse estensioni dannose dell’autore del reato dopo l’identificazione del malware”, conclude il rapporto. “Tuttavia, la persistenza dell’autore e il ritardo nel rilevamento e nella rimozione rappresentano una minaccia per gli utenti che cercano strumenti di produttività e miglioramenti del browser”.
Pertanto, tutti gli utenti dovrebbero prestare particolare attenzione alle estensioni browser:
- scaricare solo estensioni da sviluppatori noti e verifica le recensioni;
- valutare attentamente se concedere le autorizzazioni richieste durante l’installazione;
- mantenere sempre aggiornati browser e antivirus;
- controllare e disinstallare le estensioni inutilizzate o sospette.
