Les cybercriminels utilisent une méthode silencieuse pour infecter les utilisateurs, c’est ainsi qu’un groupe non identifié a atteint ce désir pendant un certain temps: il a réussi à adulter les extensions légitimes de Google Chrome.
La chose la plus curieuse à propos de cette attaque est que l’une des extensions compromises correspondait à Cyberhaven, une société de prévention des données. Ensuite, la question est apparue.
Qui aurait pu suspecter son complément au navigateur? Peut-être aucun de ses clients, mais le code malveillant était là, cherchant à voler certaines informations privées aux utilisateurs.
Extensions avec des logiciels malveillants pour voler des comptes commerciaux de Facebook
L’objectif des attaquants était de s’approprier des comptes commerciaux de Facebook. Bien que ce réseau social soit déjà devenu à la mode pour beaucoup, il a toujours un grand nombre d’utilisateurs et, en outre, il s’agit d’un élément clé des actions de marketing numérique de nombreuses entreprises, car ses outils sont également connectés aux autres réseaux de finition en tant qu’Instagram , les médias spécialisés dans les questions technologiques, Xataka.
Extensions engagées
Une analyse Cyberhaven détaille que les extensions compromises ont collecté des informations telles que l’accès à l’accès Facebook et l’ID utilisateur. Ils ont également essayé d’obtenir des informations sur le compte via l’API et ont envoyé toutes ces données, avec Facebook Cookies, un serveur de commande et de contrôle.
La grande question est de savoir comment vous parvenez à infecter une extension d’une entreprise dédiée à la sécurité (et plus de 30 extensions de plus d’autres sociétés).
Le vecteur d’attaque initial utilisé par ces cybercriminels est un exemple clair que les techniques, de plus en plus sophistiquées, sont une menace pour tous les types d’utilisateurs.
Campagne de phishing
Tout a commencé avec une campagne de phishing. Une personne de l’équipe de développement des entreprises concernées a reçu un e-mail où les attaquants ont été transmis par Google.
Le message a utilisé une tactique habituelle dans ce type de pratiques: provoquer une alarme et provoquer une action immédiate. Il a dit que sa prolongation avait violé les politiques de la boutique en ligne Chrome.
«Nous n’autorisons pas les extensions avec trompeurs, mal formatés, non pertinents, non pertinents, excessifs ou inappropriés, y compris, entre autres, la description de l’extension, le nom du développeur, le titre, l’icône, les captures d’écran et les images promotionnelles et Les images promotionnelles », ont déclaré le courrier, et a ajouté que l’extension pourrait être éliminée.
Ci-dessous, un bouton « Allez à la politique ». En le pressant, les choses étaient compliquées. Les CyberCouts ont tout mis en place pour minimiser les soupçons. Les victimes ont trouvé un flux d’autorisation standard (et légitime) de Google.
Mais derrière cela, il y avait une ressource «malveillante» appelée «extension de politique de confidentialité» qui a demandé à l’utilisateur d’accéder à leurs extensions.
Les victimes, sans soupçonner, ont fini par donner le contrôle de leurs extensions aux cybercriminels, qui ont ensuite publié des versions manipulées pour récolter de nouvelles victimes.
