惡意Chrome擴展影響140萬用戶

McAfee研究人員發(fā)現(xiàn)了5個惡意Chrome瀏覽器擴展,影響超過140萬用戶。
McAfee研究人員分析瀏覽器擴展發(fā)現(xiàn)了多個惡意Chrome擴展。除了提供擴展功能外,瀏覽器擴展還可以追蹤用戶瀏覽記錄。每個訪問的網(wǎng)站都會被惡意瀏覽器擴展創(chuàng)建者發(fā)送給其服務(wù)器。此外,惡意瀏覽器擴展還可以修改網(wǎng)站cookie,使得擴展開發(fā)者可以接收到支付信息。而瀏覽器擴展的用戶甚至沒有意識到惡意擴展的隱私威脅。
McAfee分析發(fā)現(xiàn)了5個用戶量比較大的惡意Chrome瀏覽器擴展,影響超過140萬用戶,分別是:

技術(shù)分析
本文對惡意Chrome擴展‘mmnbenehknklpbendgmgngeaignppnbe’進行分析,因為這些擴展的行為是類似的。
Manifest.json

manifest.json 負責將背景頁面設(shè)置為bg.html。該HTML文件會加載b0.js,該文件負責發(fā)送用戶訪問的URL和注入代碼到電商網(wǎng)站。
B0.js
b0.js腳本包含多個功能。其中一個最重要的功能是發(fā)送用戶訪問的URL到服務(wù)器和處理響應(yīng)。
Chrome擴展通過訂閱事件作為執(zhí)行特定活動的觸發(fā)器。本文分析的擴展訂閱來自chrome.tabs.onUpdated的事件,用戶在新tab頁輸入新URL時,chrome.tabs.onUpdated會被觸發(fā)。

該事件觸發(fā)后,擴展就會設(shè)置一個使用tab url的變量——tab.url。并創(chuàng)建其他多個變量,并發(fā)送給d.langhort.com。POST數(shù)據(jù)格式如下:

random ID是在字符集中選擇8個隨機字符創(chuàng)建的。代碼如下所示:

國家、城市、郵編等都使用ip-api.com收集,代碼如下所示:

在接收到URL后,langhort.com會檢查是否與網(wǎng)站列表相匹配,如果匹配就響應(yīng)查詢。示例如下:

返回的數(shù)據(jù)是json格式。響應(yīng)會使用下面的函數(shù)進行檢查,根據(jù)響應(yīng)的具體內(nèi)容來調(diào)用其他函數(shù)。其中包括passf_url 和 setCookie。

Result[‘c’] – passf_url
如果結(jié)果是c,擴展就會查詢返回的URL。然后檢查響應(yīng),如果狀態(tài)是200或404,就會檢查查詢響應(yīng)是否是URL。如果是,就會將URL作為iframe插入到要訪問網(wǎng)站。

Result[‘e’] setCookie
如果結(jié)果是e,擴展就會將結(jié)果作為cookie插入。
行為流
下圖是訪問BestBuy網(wǎng)站的事件流:

- 用戶在訪問bestbuy.com時,惡意擴展會將base64編碼的URL發(fā)布在d.langhort.com/chrome/TrackData/;
 - Langhort.com會響應(yīng)c和URL。C表示擴展就會調(diào)用函數(shù)passf_url();
 - passf_url()會執(zhí)行對URL的請求;
 - 上一步查詢的URL會使用301響應(yīng)重定向到bestbuy.com,響應(yīng)中包含域擴展所有者關(guān)聯(lián)的Id;
 - 擴展會將URL以iframe的形式插入到用戶訪問的bestbuy.com。
 - 然后,攻擊者就收到了用戶在bestbuy.com的購買信息了。
 
本文翻譯自:https://www.mcafee.com/blogs/other-blogs/mcafee-labs/malicious-cookie-stuffing-chrome-extensions-with-1-4-million-users/
















 
 
 












 
 
 
 