Descoberta e escopo da ameaça
Cybersecurity researchers identificaram uma nova campanha de malware distribuída através de extensões maliciosas do navegador Google Chrome. A operação, batizada de PEEP por analistas da SOCRadar, utiliza um toolkit pós-comprometimento baseado em Chromium derivado do projeto open-source RedExt. O objetivo principal é transformar computadores já infectados em backdoors remotos, permitindo que atacantes roubem cookies de sessão ativos e contornem autenticação multifatorial (MFA).
Vetor de infecção e persistência
O toolkit não fornece seu próprio método de entrada no dispositivo. Em vez disso, os atacantes precisam de execução de código prévia ou acesso administrativo para instalar silenciosamente a extensão nos perfis do Chrome ou Edge. Os instaladores podem alterar configurações do navegador para que a extensão seja lançada sem as verificações habituais da loja, prompts de aprovação ou avisos visíveis.
A persistência é alcançada através de múltiplos métodos. Scripts podem forjar valores de integridade das Preferências Seguras do Chrome, usar políticas de instalação forçada empresarial ou sideloadar a extensão. Além disso, o malware explora um fallback do ScriptCache, deixando arquivos de origem aparentemente inofensivos enquanto o Chrome recarrega um service worker malicioso previamente compilado.
Riscos de segurança e impacto
O risco mais crítico reside na capacidade de roubo de cookies de sessão. Um cookie válido prova que um usuário já fez login, permitindo que um intruso reutilize uma sessão ativa e desvie de prompts de senha ou MFA subsequentes até que a sessão seja revogada. Isso representa uma falha significativa nas defesas de identidade tradicionais.
Além do roubo de dados, a extensão aceita comandos para abrir páginas, injetar JavaScript, alterar configurações de proxy e capturar conteúdo da página. Ela entra em contato com seu servidor de comando usando HTTP não criptografado, permitindo que o operador envie tarefas e receba dados coletados.
Medidas de mitigação recomendadas
Equipes de segurança devem identificar todas as instâncias auto-hospedadas afetadas, confirmar seus números de build instalados e agendar a atualização imediatamente. Administradores também devem revisar logs de acesso ao servidor, atividade de contas administrativas, registros de execução remota de comandos e alterações incomuns de configuração.
Lista estrita de permissão de extensões, modo de desenvolvedor desativado, restrições de sideloading externo e aprovação apenas de hosts de mensageria nativa confiáveis podem reduzir a chance de instalação semelhante. Defensores devem tratar uma infecção suspeita como incidente de endpoint e identidade simultaneamente.
Perguntas frequentes
- Como detectar? Monitore processos do navegador iniciando scripts, scripts registrando tarefas e Edge enviando dados para caminhos de webhook incomuns.
- É necessário reiniciar? Sim, após remover a extensão e os artefatos associados, um reinício garante que os serviços maliciosos sejam encerrados completamente.
- Qual o impacto no Brasil? Embora o foco inicial tenha sido global, organizações brasileiras com infraestrutura similar devem aplicar as medidas de mitigação imediatamente devido à natureza transversal da ameaça.