Quando un'estensione del browser inizia a rispondere: il canale di comando di Windows nascosto in bella vista

I browser sono progettati per contenere i danni, non per ospitarli. Eppure alcune delle loro funzionalità più utili sono anche le più delicate: i permessi delle estensioni, le app helper locali e i loader basati su script. Nell'incidente in questione, questi elementi sono stati concatenati in un modo che sembra aver portato il controllo dell'attaccante da un'esca di phishing all'esecuzione di PowerShell su Windows.

Fatti rapidi

• La campagna è iniziata con un'esca di phishing che ha consegnato un loader JavaScript offuscato su Windows.
• Un'estensione malevola di Google Chrome è stata utilizzata insieme a un Native Messaging Host.
• Il percorso avrebbe attraversato la sandbox del browser di Chrome fino all'esecuzione di codice nativo sulla macchina host.
• Comandi PowerShell sono stati eseguiti sui sistemi Windows infetti.
• Le informazioni disponibili supportano un'analisi dell'abuso della trust boundary, non l'affermazione di uno exploit di corruzione della memoria del browser.

Come funziona il ponte

Il native messaging di Chrome non è di per sé un bug. È un meccanismo intenzionale che consente a un'estensione di scambiare messaggi JSON con un'applicazione nativa avviata separatamente. Questo design è utile per gestori di password, strumenti aziendali e altre integrazioni affidabili. È anche esattamente il motivo per cui i team di sicurezza lo trattano come un ponte ad alto valore: una volta che un componente lato browser può parlare con un processo host locale, la superficie d'attacco non è più limitata alla sandbox del renderer.

Questa distinzione è importante. La sandbox vincola i processi del browser, ma non neutralizza ciò che un helper nativo può fare dopo essere stato invocato. Se un'estensione malevola dispone dei permessi giusti, e se un host locale è registrato per accettarla, il browser può diventare un relè di comandi anziché un livello di contenimento. In questo caso, quel relè avrebbe raggiunto PowerShell, che è uno strumento di amministrazione comune e quindi un bersaglio frequente dopo una compromissione.

Anche il dropper JavaScript per Windows rientra in uno schema familiare. I file di script sono spesso più facili da far passare attraverso il phishing rispetto a binari evidenti, e possono avviare componenti aggiuntivi senza sembrare subito malware convenzionale. Questo rende importante la fase iniziale del loader: è il passaggio di consegne tra inganno dell'utente ed esecuzione locale.

Da un punto di vista difensivo, la domanda più rilevante non è se Chrome sia stato "rotto" in senso drammatico, ma se un percorso affidabile dell'estensione sia stato abusato come previsto dal design. Le informazioni disponibili supportano questa lettura più ristretta. I dettagli pubblici non stabiliscono completamente il percorso di registrazione, la configurazione esatta dell'host o se si sia verificato un furto di dati del browser più ampio.

Per i difensori, gli insegnamenti pratici sono chiari. Verificate quali estensioni sono autorizzate a usare il native messaging, censite gli host registrati, generate avvisi per l'avvio inatteso di PowerShell in catene collegate al browser e monitorate l'attività di Windows Script Host da posizioni scrivibili dall'utente. Questi controlli non riducono solo il rischio malware; aiutano anche a scoprire quando funzionalità di convenienza sono state trasformate in canali di esecuzione nascosti.

Conclusione

Questo caso ricorda che la sicurezza moderna degli endpoint riguarda spesso le tubazioni della fiducia, non solo gli exploit. Quando l'estendibilità del browser incontra l'integrazione nativa con il sistema operativo, una piccola modifica dei permessi può diventare un aumento significativo del rischio. La lezione per i difensori è semplice: trattate ogni collegamento tra browser e host come una frontiera, perché gli attaccanti lo fanno sempre più spesso.

WIKICROOK

• Native Messaging Host: Un'applicazione locale che scambia messaggi con un'estensione del browser al di fuori del processo del browser.
• Sandbox del browser: Un livello di contenimento che limita ciò a cui i processi del browser possono accedere direttamente nel sistema operativo.
• PowerShell: Un ambiente di comando e scripting di Windows spesso usato per l'amministrazione e abusato per azioni post-compromissione.
• JavaScript dropper: Un file di script usato per avviare la fase successiva di una catena malware su un endpoint.
• Trust boundary: Un punto in cui dati o comandi passano da un dominio di sicurezza a un altro e richiedono un'attenzione aggiuntiva.