if ( !emtpy($headline_subheadline ) ) : ?>
Les résultats soulèvent la question de savoir si les contrôles existants sur les points de terminaison et le réseau offrent suffisamment de visibilité sur les activités malveillantes se produisant dans le navigateur.
endif; ?>
Les attaquants ont transformé des extensions de navigateur auparavant légitimes en logiciels malveillants après les avoir acquises auprès d’éditeurs légitimes, permettant potentiellement à des mises à jour malveillantes d’atteindre les utilisateurs qui avaient installé le logiciel alors qu’il était encore sûr, ont découvert des chercheurs de Socket.
La campagne impliquait 19 extensions pour Google Chrome et Microsoft Edge. Selon Socket, cinq d’entre eux avaient été développés à l’origine par des éditeurs légitimes et ont ensuite été acquis par les attaquants. Les 14 autres ont été créés par l’acteur malveillant mais ne contenaient pas de malware lors de leur première publication.
Les résultats mettent en évidence un problème de sécurité qui peut être difficile à détecter pour les utilisateurs et les entreprises. Une extension qui semble sûre lors de sa première installation peut changer après un transfert de propriété ou une mise à jour logicielle, tandis que les utilisateurs existants peuvent avoir peu de raisons de revenir sur une décision antérieure de lui faire confiance.
Ce risque est aggravé par le processus de mise à jour des extensions de Chrome. Les extensions installées sont normalement mises à jour automatiquement, ce qui signifie que le code malveillant ajouté à une version ultérieure peut atteindre les utilisateurs sans qu’ils aient besoin de télécharger une autre application ou de réinstaller l’extension.
Une extension examinée par Socket, appelée Enable Right Click & Copy — Smart Unlock + OCR, comptait environ 70 000 utilisateurs lorsque le code malveillant a été ajouté. Il avait initialement été développé par PreppHint avant d’être acquis par l’acteur malveillant. Une extension Edge associée comptait environ 10 000 utilisateurs. Socket a déclaré que ces chiffres indiquent la portée possible du malware, plutôt que de confirmer que chaque utilisateur a reçu une version infectée.
Une fois installé, le logiciel malveillant pourrait contacter l’infrastructure contrôlée par les attaquants et recevoir des charges utiles JavaScript supplémentaires. Socket a découvert qu’il pouvait supprimer les en-têtes de politique de sécurité du contenu des sites Web ouverts dans le navigateur, ouvrant ainsi la voie au code fourni par l’attaquant pour s’exécuter dans les pages visitées par l’utilisateur.
La campagne était fortement axée sur le vol de crypto-monnaie, mais ses capacités allaient plus loin. Socket a observé le code qui capturait les informations saisies dans les formulaires Web et extrayait le matériel d’authentification des sessions de navigateur actives. D’autres modules ciblaient les comptes de réseaux sociaux connectés et collectaient l’historique du navigateur.
Socket a lié les extensions à une opération plus large datant de février 2024 sur la base de similitudes avec l’activité précédemment documentée par DomainTools. Les chercheurs ont déclaré que la conception du malware permettait aux attaquants de modifier les charges utiles envoyées aux navigateurs infectés au fil du temps.
Les extensions deviennent des risques pour la chaîne d’approvisionnement
La campagne montre pourquoi les entreprises ne peuvent plus considérer l’approbation d’une extension de navigateur comme une décision de sécurité ponctuelle, selon Keith Prabhu, fondateur et PDG de Confidis.
« Les RSSI devraient traiter les extensions de navigateur comme des logiciels tiers en constante évolution, et non comme des outils de productivité statiques », a déclaré Prabhu. « Les organisations devraient passer de « l’approbation de l’installation » à « l’assurance du cycle de vie » pour les extensions de navigateur. »
Cela signifie que les équipes de sécurité devront peut-être réévaluer les extensions après le déploiement, en particulier lorsque des changements de propriété ou lorsque de nouvelles versions demandent des autorisations plus larges. Les modifications apportées au code et à l’identité de l’éditeur peuvent fournir une alerte précoce indiquant qu’une extension ne présente plus le même profil de risque qu’elle avait lors de sa première approbation.
Jonathan Ong, analyste principal des services de sécurité gérés chez Omdia, a comparé cette tactique à des attaques impliquant des applications mobiles malveillantes, dans lesquelles une version initiale propre est utilisée pour obtenir l’approbation avant l’introduction d’un code nuisible dans une mise à jour ultérieure.
Cette similitude suggère que l’approbation par un marché de logiciels officiel ne devrait pas être considérée comme un indicateur durable de sécurité une fois qu’une application ou une extension commence à recevoir des mises à jour.
Prabhu a également recommandé de restreindre l’accès des extensions aux sites d’entreprise sensibles et de surveiller les connexions réseau et l’activité des données générées par les extensions.
La visibilité du navigateur reste limitée
L’attaque expose également un problème de visibilité pour les équipes de sécurité de l’entreprise. Les outils déjà déployés sur les points finaux et les réseaux peuvent détecter des parties d’une attaque sans nécessairement voir ce que fait une extension malveillante dans le navigateur.
« EDR, SWG, SASE et les navigateurs gérés sont précieux, mais aucun de ces contrôles, à lui seul, ne fournit une visibilité fiable sur l’accès au DOM au niveau des extensions, la falsification des CSP, l’injection de scripts ou la capture de jetons », a déclaré Prabhu.
Cette lacune rend la télémétrie du navigateur plus importante dans les environnements où les employés s’appuient fortement sur des extensions, en particulier lorsque des comportements malveillants ont lieu au sein de sessions authentifiées plutôt que via un exécutable conventionnel exécuté sur le point final.
Les services MDR pourraient contribuer à combler cette lacune en intégrant la télémétrie du navigateur dans leur surveillance, a déclaré Ong.
Cela pourrait permettre aux défenseurs de rechercher un comportement d’extension inhabituel, tel que des tentatives de suppression des protections CSP ou d’établissement de connexions WebSocket avec des domaines auparavant non fiables, a-t-il ajouté.
La réponse nécessite un confinement
Prabhu a recommandé de déterminer quand la version malveillante était présente sur les systèmes concernés, de révoquer les sessions actives et les jetons d’actualisation, ainsi que de faire pivoter les informations d’identification ou autres secrets susceptibles d’avoir été exposés. Les intervenants en cas d’incident doivent également examiner les journaux du navigateur, du réseau, de l’identité et du SaaS à la recherche de signes d’utilisation abusive du compte ou d’accès non autorisé aux données.
L’enquête devra peut-être également déterminer à quelles informations l’extension a pu accéder, en particulier si des données sensibles d’entreprise ou personnelles ont été exposées.
Ong a ajouté que certains fournisseurs MDR peuvent aider les organisations à déterminer l’étendue de l’exposition des données à la suite d’un tel incident. Cette évaluation peut aider les entreprises à comprendre si la compromission peut déclencher une notification de violation ou d’autres exigences réglementaires dans les juridictions où elles opèrent, a déclaré Ong.
