Yeni kötü amaçlı yazılım hizmeti, Chrome web mağazasında kimlik avı uzantılarını garanti ediyor

‘Stanley’ adı verilen yeni bir hizmet olarak kötü amaçlı yazılım (MaaS), Google’ın inceleme sürecini temizleyebilecek ve bunları Chrome Web Mağazası’nda yayınlayabilecek kötü amaçlı Chrome uzantıları vaat ediyor.

Uçtan uca veri güvenliği şirketi Varonis’teki araştırmacılar, gezinmeyi engelleyerek ve bir web sayfasını saldırganın seçeceği içeriğe sahip bir iframe ile kaplayarak kolay kimlik avı saldırılarının reklamını yapan satıcının takma adından dolayı projeye Stanley adını verdi.

Yeni MaaS teklifi, saldırganın tercih ettiği kimlik avı içeriğini içeren tam ekran iframe içeren bir web sayfasını kapsayabilen kötü amaçlı Chrome uzantılarına yöneliktir. Stanley ayrıca Chrome, Edge ve Brave tarayıcılarında sessiz otomatik kurulumun ve özel ayarlamalar için desteğin reklamını yapıyor.

MaaS’ın birden fazla abonelik katmanı vardır; en pahalısı, aynı zamanda bir web paneli ve kötü amaçlı uzantıyı Chrome Web Mağazası’nda yayınlamak için tam destek sunan Luxe Plandır.

BleepingComputer, bu iddialarla ilgili yorum istemek için Google ile iletişime geçti ve geri bildirim aldığımızda bu yayını güncelleyeceğiz.

Varonis, Stanley’nin, kurbanın tarayıcı adres çubuğuna dokunulmadan, meşru alan adını gösteren tam ekran bir iframe’i kötü amaçlı içerikle kaplayarak çalıştığını bildirdi.

Stanley’nin paneline erişimi olan operatörler, istek üzerine ele geçirme kurallarını etkinleştirebilir veya devre dışı bırakabilir, hatta kurbanı belirli sayfalara çekmek için doğrudan kurbanın tarayıcısına bildirim göndererek kimlik avı sürecini daha agresif bir şekilde zorlayabilir.

Stanley, IP tabanlı kurban tespitini destekler ve oturumlar ve cihazlar arasında coğrafi hedefleme ve korelasyon sağlar.

Ayrıca, kötü amaçlı uzantı her 10 saniyede bir kalıcı komut ve kontrol (C2) yoklaması gerçekleştirir ve ayrıca yayından kaldırmalara karşı dayanıklılık sağlamak için yedek etki alanı rotasyonu da gerçekleştirebilir.

Varonis, teknik açıdan Stanley’nin gelişmiş özelliklere sahip olmadığını ve bunun yerine iyi bilinen teknikleri uygulamaya yönelik basit bir yaklaşımı tercih ettiğini söylüyor.

Kodunun bazı yerlerde “kaba” olduğu, Rusça yorumlar, boş yakalama blokları ve tutarsız hata işleme özellikleri içerdiği bildiriliyor.

Bu yeni MaaS’ı gerçekten öne çıkaran şey, dağıtım modeli, özellikle de Chrome Web Mağazası incelemesini geçme ve kötü amaçlı uzantıları güvenilir tarayıcı eklentilerinden oluşan en büyük platforma alma vaadi.

Yakın zamanda Symantec ve LayerX tarafından hazırlanan iki ayrı raporda vurgulandığı gibi, bu tür uzantıların gözden kaçmaya devam ettiği göz önüne alındığında, kullanıcılar yalnızca ihtiyaç duydukları minimum sayıda uzantıyı yüklemeli, kullanıcı incelemelerini okumalı ve yayıncının güvenilirliğini doğrulamalıdır.