Usuários do Windows que procuram uma utilidade de limpeza familiar estão sendo direcionados para uma página de download falsificada convincente. O arquivo que recebem instala o GhostDesk, uma extensão maliciosa do Chrome construída para monitorar a atividade dentro do navegador. A campanha transforma um download de software rotineiro em um caminho para roubo de credenciais, captura de digitação, captura de tela, coleta de cookies e comandos entregues às abas do navegador.
Detalhes da campanha de malware
Segundo um relatório da Malwarebytes compartilhado com a Cyber Security News, a operação começa com um site falso do CCleaner e prossegue através de uma infecção multiestágio no Windows. Os pesquisadores encontraram a isca em ccleanerwind[.]top, onde ambas as opções de download exibidas serviam ao mesmo executável prejudicial. O instalador falsificado usa o nome e o ícone do CCleaner, mas seu nome interno e o nome do arquivo original não correspondem às versões conhecidas.
O malware libera o componente CScript do Windows Script Host, coleta detalhes básicos do dispositivo e substitui uma biblioteca Runtime Broker por um carregador para a próxima etapa. Em seguida, altera o manifesto de extensão de segurança do Chrome para que dois scripts, content.js e background.js, sejam carregados de uma pasta local quando o navegador é iniciado.
Funcionalidades do GhostDesk
A extensão alterada chama-se GhostDesk, um rótulo também usado por software legítimo de sobreposição de tela. Essa escolha de nome pode fazer com que seu papel de captura de tela pareça menos incomum, mas as funções relatadas apontam para vigilância em vez de uma ferramenta normal do navegador. O GhostDesk registra entradas digitadas em campos de formulário e procura dados enviados vinculados a credenciais, tokens de autenticação e informações financeiras.
Ele também pode substituir endereços de criptomoeda colados, uma tática que poderia redirecionar um pagamento sem alterar o que uma vítima pretendia fazer. O componente de fundo pode coletar cookies do navegador, capturar a aba ativa, manter um relay local e injetar JavaScript fornecido pelo atacante em uma página aberta.
Indicadores de comprometimento (IoCs)
Os pesquisadores rastrearam o mesmo método de carregamento em amostras falsas de 7-Zip e Adobe Acrobat, com todas as amostras observadas se comunicando com o mesmo domínio de comando e controle. Um dos exemplos de Adobe Acrobat usava wscript.exe em vez de cscript.exe, sugerindo que os operadores podem ajustar o carregador enquanto mantêm a cadeia de entrega mais ampla intacta.
- Domínio: ccleanerwind[.]top (Site de download falso)
- Domínio: liderongrade.duckdns[.]org (Servidor de comando e controle)
- IP: 193.169.240[.]81 (Servidor de comando e controle)
- SHA-256: c0b4a4af8a3a8c4b113d7f203fcf480cfac79160102490daf287748634b9ce23 (FakeCCleaner.exe)
Medidas de mitigação recomendadas
Qualquer pessoa que tenha baixado o instalador suspeito deve desconectar a máquina de contas sensíveis, executar uma verificação de segurança reputável o mais rápido possível e remover extensões do Chrome não familiares. Eles também devem alterar senhas de um dispositivo conhecido como limpo, invalidar todas as sessões de conta, quando possível, e observar logins incomuns ou transações não autorizadas.
Os usuários devem verificar a barra de endereço cuidadosamente antes de baixar software e evitar tratar resultados patrocinados, postagens em redes sociais, mensagens de texto ou links enviados por e-mail como prova de que um download é oficial. Quando disponível, obtenha software através do site legítimo do editor ou de uma loja confiável, mantenha o Windows e o Chrome atualizados e revise as extensões recentes quanto a qualquer coisa desconhecida.
Comparação com ataques anteriores
Essa técnica ecoa o risco descrito em campanhas de backdoor de extensões maliciosas, onde um add-on rogue pode estabelecer acesso duradouro ao navegador. Campanhas comparáveis usaram add-ons do navegador para coletar dados silenciosamente em escala, incluindo a campanha de extensão ShadyPanda de longa duração, que confiava em extensões com aparência confiável.