El robo silencioso de datos a través del malware que se oculta sin ser detectado durante años muestra que incluso las extensiones populares de los navegadores web pueden ser vulnerables a la explotación.
Una publicación de los investigadores de Avast Threat Labs brinda detalles técnicos sobre cómo el malware CacheFlow logró mantenerse encubierto en Google Chrome y Microsoft Edge para secuestrar los clics de las víctimas, alterar los resultados del motor de búsqueda y robar datos.
La función de CacheFlow fue reemplazar los enlaces de Google, Bing y otras consultas de motores de búsqueda con enlaces secuestrados que sirven a sitios de phishing y anuncios.
“Pudimos encontrar muchas otras extensiones que ofrecían varias funciones legítimas, muchas de ellas descargando videos a plataformas populares de redes sociales. Pero descubrimos que la principal carga útil maliciosa de estas extensiones era responsable de las redirecciones maliciosas del navegador”, explica Jan Rubín, investigador de malware de Avast.
Avast Threat Labs brinda detalles técnicos sobre cómo el malware CacheFlow logró mantenerse encubierto en Google Chrome y Microsoft Edge
No solo eso, sino que los ciberdelincuentes también recopilan una gran cantidad de datos sobre los usuarios, incluyendo todas las consultas de sus motores de búsqueda o información sobre todo lo que cliquearon.
Se estima que al menos 3 millones de usuarios en todo el mundo han descargado e instalado las extensiones. Varios de los complementos estaban disponibles en las tiendas oficiales de los navegadores.
A través de telemetría, la compañía señala que los tres principales países donde los usuarios descargaron e instalaron las extensiones de CacheFlow fueron: Brasil, Ucrania y Francia.
Entre las 28 extensiones afectadas se destaca Video Downloader para Facebook, Vimeo Video Downloader, Instagram Story Downloader y VK Unblock.
Se trata de una nueva táctica en donde los ciberdelincuentes ocultan el tráfico de Comando y Control (C&C) haciéndolo parecer tráfico de Google Analytics. Los criminales también incluyeron tácticas para intentar esconderse de desarrolladores e investigadores de malware.
En diciembre del año pasado, Avast reveló que 28 extensiones maliciosas de navegador disponibles para descargar desde Google Chrome y el sitio web de complementos de Microsoft Edge estaban infectadas con malware.
Ahora, muestra el objetivo detrás de estas extensiones de navegador maliciosas: robar información confidencial de las cuentas de Google de la víctima, secuestrar los clics de los usuarios y modificar los resultados de búsqueda.
El estudio de Avast también mostró que las extensiones exhibían un nivel bastante alto de sigilo al emplear muchos trucos para disminuir las posibilidades de detección.
Primero, los ciberdelincuentes evitaban infectar a los usuarios, que probablemente eran desarrolladores web. Lo determinaban a través de las extensiones que el usuario ya tenía instaladas o verificando si el usuario accedió a sitios web alojados localmente.
“CacheFlow se destacó por la forma en que las extensiones maliciosas intentaron ocultar su comando. Creemos que esta es una técnica nueva, parecería que el tráfico incluido al estilo de Google Analytics se insertó en el código no solo para ocultar comandos maliciosos, sino que los autores de las extensiones también estaban interesados en las solicitudes de análisis en sí mismas”, advierte Jan Vojtěšek, investigador de malware de Avast.
SL
TEMAS QUE APARECEN EN ESTA NOTA
COMENTARIOS CERRADOS POR PROBLEMAS TÉCNICOS.ESTAMOS TRABAJANDO PARA REACTIVARLOS EN BREVE.
Comentar las notas de Clarín es exclusivo para suscriptores.
Clarín
Para comentar debés activar tu cuenta haciendo clic en el e-mail que te enviamos a la casilla ¿No encontraste el e-mail? Hace clic acá y te lo volvemos a enviar.
Clarín
Para comentar nuestras notas por favor completá los siguientes datos.
