Dati Rapidi

• Oltre 4,3 milioni di utenti Chrome ed Edge sono stati hackerati silenziosamente tramite estensioni del browser dal 2017.
• La campagna, guidata dal gruppo "ShadyPanda", ha trasformato estensioni apparentemente legittime tramite aggiornamenti furtivi.
• Gli aggiornamenti malevoli hanno permesso sorveglianza totale, furto di dati e persino il controllo remoto dei browser colpiti.
• Alcune estensioni compromesse erano precedentemente “In evidenza” e “Verificate” da Google e Microsoft.
• L’infrastruttura degli attaccanti è collegata a server in Cina, sollevando timori di cyber-spionaggio globale.

L’Occupazione Silenziosa: Un Capolavoro di Malware

Immagina la tua pianta da appartamento di fiducia, che silenziosamente fa la fotosintesi in un angolo, improvvisamente spuntare zanne durante la notte. È ciò che è successo a milioni di utenti web che hanno installato estensioni Chrome ed Edge dall’aspetto innocuo, solo per vederle trasformarsi in strumenti di sorveglianza dopo anni di servizio innocente. Per sette anni, il gruppo ShadyPanda ha orchestrato un’operazione su vasta scala, sfruttando proprio la fiducia che gli utenti ripongono nei marketplace ufficiali dei browser.

Il genio dello schema stava nella pazienza. Estensioni come "Clean Master" e "WeTab" si sono comportate bene per anni-ottenendo recensioni entusiastiche e persino il prestigioso badge “In evidenza” di Google. A metà 2024, questi camaleonti digitali hanno ricevuto aggiornamenti silenziosi che li hanno trasformati in potenti spyware. All’improvviso monitoravano ogni sito visitato, sottraevano cronologie di navigazione criptate e raccoglievano impronte digitali uniche del browser-dati preziosi per pubblicitari, criminali o attori statali.

Da Truffe di Affiliazione a Spionaggio Totale

Il modus operandi di ShadyPanda si è evoluto per fasi. Inizialmente, la cosiddetta “Wallpaper Hustle” promuoveva decine di estensioni innocue che silenziosamente iniettavano codici affiliati-intascando profitti da giganti dell’e-commerce come Amazon ed eBay ad ogni clic dell’utente. Ma il 2024 ha segnato un’escalation inquietante: dirottamento delle ricerche, furto di cookie e, infine, esecuzione remota di codice (RCE)-l’equivalente digitale di consegnare ai pirati le chiavi di casa.

L’estensione “Infinity V+”, ad esempio, reindirizzava tutte le ricerche tramite intermediari sospetti, catturava ogni tasto premuto (anche prima che l’utente premesse invio) e raccoglieva cookie per tracciare gli utenti sul web. Successivamente, le estensioni potevano scaricare ed eseguire qualsiasi codice desiderato dagli attaccanti, tutto senza allertare i browser.

Il bottino più grande è arrivato con l’estensione Edge "WeTab", che ha convogliato le abitudini di navigazione in tempo reale di 3 milioni di utenti verso server in Cina. Questo tipo di raccolta dati di massa richiama incidenti passati come lo scandalo “Great Suspender” del 2020, ma qui la scala e la sofisticazione sono senza precedenti.

Punti Ciechi dei Marketplace e la Prospettiva Globale

Questi attacchi mettono in luce una debolezza lampante nei marketplace delle estensioni: dopo l’approvazione iniziale, gli aggiornamenti vengono raramente controllati. I meccanismi di aggiornamento automatico, pensati per la comodità, sono diventati l’arma segreta di ShadyPanda. Nemmeno i badge “Verificato” o “In evidenza” hanno fornito protezione-una volta ottenuta la fiducia, questa resta fino a quando non è troppo tardi.

Con l’infrastruttura degli attaccanti rintracciata in Cina, sorgono molte domande su chi possa beneficiare di questa miniera di dati personali. Sebbene le motivazioni di ShadyPanda possano includere profitto e spionaggio, la vera lezione è più ampia: i guardiani del web stanno dormendo, e la fiducia può essere dirottata da un giorno all’altro.

WIKICROOK

• Estensione del Browser: Un’estensione del browser è un piccolo componente aggiuntivo che migliora le funzionalità del browser, ma può anche essere sfruttato dagli hacker per rubare dati o spiare gli utenti.
• Esecuzione Remota di Codice (RCE): L’esecuzione remota di codice (RCE) si verifica quando un attaccante esegue il proprio codice sul sistema della vittima, spesso ottenendo il pieno controllo o compromettendo il sistema stesso.
• Esfiltrazione di Cookie: L’esfiltrazione di cookie è il furto dei cookie del browser per impersonare gli utenti o tracciare le loro attività online, spesso sfruttando vulnerabilità di siti web o browser.
• Comando: Un comando è un’istruzione inviata a un dispositivo o software, spesso da un server C2, che lo indirizza a compiere azioni specifiche, talvolta per scopi malevoli.
• Offuscamento: L’offuscamento è la pratica di mascherare codice o dati per renderli difficili da comprendere, analizzare o rilevare da parte di persone o strumenti di sicurezza.