Una nueva campaña de ataque se ha dirigido a extensiones conocidas del navegador Chrome, lo que ha provocado que al menos 16 extensiones se vean comprometidas y expongan a más de 600.000 usuarios a la exposición de datos y al robo de credenciales.
El ataque se dirigió a los editores de extensiones del navegador en Chrome Web Store a través de una campaña de phishing y utilizó sus permisos de acceso para insertar código malicioso en extensiones legítimas con el fin de robar cookies y tokens de acceso de los usuarios.
La primera empresa que se supo que había sido expuesta fue la firma de ciberseguridad Cyberhaven.
El 27 de diciembre, Cyberhaven reveló que un actor de amenazas comprometió su extensión de navegador e inyectó código malicioso para comunicarse con un servidor de Comando y Control (C&C) externo ubicado en el dominio cyberhavenext[.]pro, descargar archivos de configuración adicionales y extraer datos de los usuarios.
Una vez que se conoció la noticia de la violación de seguridad de Cyberhaven, se identificaron rápidamente extensiones adicionales que también estaban comprometidas y que se comunicaban con el mismo servidor C&C.
Jamie Blasco, director de tecnología de la empresa de seguridad SaaS Nudge Security, identificó dominios adicionales que se resuelven en la misma dirección IP del servidor C&C utilizado para la violación de seguridad de Cyberhaven.
Las extensiones de navegador adicionales que actualmente se sospecha que se han visto comprometidas incluyen:
AI Assistant – ChatGPT y Gemini para Chrome
Bard AI Chat Extension
GPT 4 Summary con OpenAI
Search Copilot AI Assistant para Chrome
TinaMInd AI Assistant
Wayin AI
VPNCity
Internxt VPN
Vindoz Flex Video Recorder
VidHelper Video Downloader
Bookmark Favicon Changer
Castorus
Uvoice
Reader Mode
Parrot Talks
Primus
Estas extensiones comprometidas adicionales indican que Cyberhaven no era un objetivo aislado, sino parte de una campaña de ataque a gran escala dirigida a extensiones legítimas del navegador.
El análisis de Cyberhaven comprometido indica que el código malicioso tenía como objetivo los datos de identidad y los tokens de acceso de las cuentas de Facebook, y específicamente las cuentas comerciales de Facebook:
Sin embargo, el hecho de que la extensión se haya eliminado de Chrome Store no significa que la exposición haya terminado, dice Or Eshed. «Mientras la versión comprometida de la extensión siga activa en el punto final, los piratas informáticos podrán acceder a ella y extraer datos», afirma.
Los investigadores de seguridad siguen buscando extensiones expuestas adicionales, pero la sofisticación y el alcance de esta campaña de ataques han aumentado la apuesta de muchas organizaciones por proteger sus extensiones de navegador.