Una nueva campaña de malware ha conseguido colarse en la Chrome Web Store de Google mediante decenas de extensiones fraudulentas que se presentaban como fondos de pantalla animados.
Los atacantes aprovecharon el atractivo de las extensiones de personalización para convencer a los usuarios de que instalaran herramientas aparentemente inocuas. Sin embargo, una vez añadidas al navegador, estos añadidos iniciaban una serie de actividades maliciosas destinadas a secuestrar sesiones de navegación, inyectar publicidad no deseada y recopilar información sobre la actividad de las víctimas en Internet.
La campaña destaca por la forma en que sus responsables lograron eludir los mecanismos de control de la Chrome Web Store. En lugar de incluir directamente el código malicioso en el paquete que se somete a revisión, las extensiones descargaban contenido adicional desde servidores externos una vez instaladas.
Después de ello, las extensiones establecían comunicación con servidores de mando y control desde los que recibían instrucciones y nuevas cargas útiles en formato HTML. Según el análisis, más de 40 de estos complementos estaban configurados para recibir código remoto, lo que otorgaba a los atacantes una gran flexibilidad para modificar su comportamiento sin necesidad de publicar nuevas versiones en la tienda oficial.
Los investigadores señalan que los delincuentes distribuyeron las extensiones a través de tres cuentas diferentes de desarrollador. Esta estrategia les permitía reducir el riesgo de que toda la operación quedara inutilizada en caso de que la firma de Mountain View detectara y suspendiera alguna de las cuentas utilizadas para publicar los complementos.
Otro de los aspectos más llamativos de la campaña es la manipulación deliberada del almacenamiento local del navegador. Estas herramientas estaban programadas para eliminar la base de datos IndexedDB tanto durante la instalación inicial como cada vez que se iniciaba Chrome. Aunque esta acción puede dificultar el análisis forense y la detección de la amenaza, también evidencia el elevado nivel técnico empleado por los operadores de la campaña.
Los expertos advierten de que este tipo de adware ya no debe considerarse una simple molestia. Además de generar ingresos mediante publicidad fraudulenta y el secuestro del tráfico web, la capacidad de ejecutar código remoto abre la puerta a la distribución de amenazas mucho más peligrosas en el futuro, como troyanos, ladrones de credenciales o herramientas de espionaje.
La investigación pone de manifiesto los desafíos que siguen afrontando las tiendas oficiales de extensiones para impedir que actores maliciosos aprovechen sus plataformas. Aunque Google mantiene controles de seguridad sobre las aplicaciones y complementos publicados, los atacantes continúan desarrollando técnicas para sortear estas barreras y mantener activas sus campañas durante largos periodos de tiempo. En este sentido, la empresa de la gran G acaba de patentar una tecnología para que un agente que se camufla como usuario revise estas extensiones y las aplicaciones móviles de su tienda a posteriori.
Qué hacer para protegerse
Para minimizar el riesgo, los especialistas recomiendan revisar detenidamente la reputación del desarrollador antes de instalar cualquier extensión, comprobar las valoraciones y comentarios de otros usuarios y desconfiar de aquellos complementos que soliciten permisos excesivos. Los permisos excesivos o no pertinentes respecto al uso real también pueden dar pistas.
Además, conviene eliminar periódicamente las extensiones que ya no se utilizan y mantener el navegador actualizado para reducir la superficie de ataque frente a este tipo de amenazas.
Deja una respuesta