PEEP-Malware verwandelt Chrome und Edge in Remote-Backdoors

Die PEEP-Malware, ein neu detailliertes Post-Kompromittierungs-Toolkit, kann Google Chrome und Microsoft Edge in persistente Remote-Zugriffs-Backdoors verwandeln, sobald ein Angreifer bereits einen Fuß in der Maschine hat. Cybersicherheitsforscher von SOCRadar enthüllten das Framework, das sich als Lesezeichen-Erweiterung für Chromium-basierte Browser tarnt, aber tatsächlich dazu entwickelt wurde, Anmeldedaten zu stehlen, Sitzungen zu übernehmen und Befehle auf dem Host-Betriebssystem auszuführen. Das Tool enthält keine eigene Methode für den Erstzugriff, daher muss es eingesetzt werden, nachdem ein Angreifer eine Maschine bereits auf andere Weise kompromittiert hat.

Die Malware installiert sich, indem sie die Erweiterung direkt in Browserprofile injiziert und dabei den Chrome Web Store und Benutzerabfragen umgeht. Dazu fälscht sie die Integritätswerte in Chromiums Secure Preferences-Datei, einer Konfigurationsdatei, die normalerweise verhindert, dass nicht autorisierte Erweiterungen stillschweigend aktiviert werden. SOCRadar erklärt, dass die Erweiterung nach der Installation alle 30 Sekunden über Klartext-HTTP einen Command-and-Control-Server (identifiziert als 206.237.30[.]232 oder xfjcc[.]fun) nach neuen Befehlen abfragt. Gleichzeitig exfiltriert sie Browserverlauf, Metadaten des aktiven Tabs und Sitzungscookies. Die Erweiterung unterstützt auch Screenshots, Zugriff auf die Zwischenablage und JavaScript-Injektion und kann Webseiten im laufenden Betrieb verändern. Die bedeutendste Fähigkeit stammt jedoch von einer Hilfsdatei namens nm_host.exe, die als nativer Messaging-Host fungiert. Wenn ein Befehl Betriebssystemzugriff benötigt, ruft die Erweiterung diese Binärdatei auf, um Shell-Befehle auszuführen, Dateien zu verwalten und Prozesse und Dienste zu entdecken. Dies verwandelt die Malware von einem einfachen Anmeldedaten-Dieb in ein breiteres Remote-Zugriffs- und Browser-Überwachungswerkzeug.

PEEP basiert auf dem Open-Source-Framework RedExt, das zuvor in GlassWorm-Angriffen verwendet wurde, erweitert diese Grundlage jedoch um spezielle Installationsroutinen, eine native Host-Brücke, Heartbeat-Telemetrie, einen Update-Kanal und einen größeren Befehlssatz. SOCRadar zufolge macht dies PEEP zu einem Derivat von RedExt. Die Erweiterung tarnt sich als 'Smart Bookmarks' mit der ID ejkndncpkdcjcikfhiamcdehdoegilbj. Ihr Hauptagent führt eine Beacon-Schleife aus: Er fragt den Endpunkt '/api/commands' nach neuen Aufgaben ab, sammelt Browserdaten und sendet Ergebnisse zurück. Separate Endpunkte behandeln die Registrierung ('/api/register'), Heartbeat-Daten wie User-Agent-String, Betriebssystem und Zeitzone ('/api/agents//heartbeat'), Erweiterungs-Updates ('/api/extension_update/' und '/api/extension_crx/'), Aufgabenergebnisse über '/api/agents//task_result' und die automatische Exfiltration gesammelter Daten wie Cookies, Verlauf, offene Tabs, aktive URL, öffentliche IP-Adresse, Gebietsschema und Zeitzone über '/api/exfil'. Zwei weitere Endpunkte, '/health' und '/login', legen den internen Systemstatus und ein C2-Panel auf Port 5001 offen.

Um sicherzustellen, dass die bösartige Erweiterung aktiv bleibt, modifiziert PEEP die Secure Preferences-Datei von Chromium, sodass die Erweiterung bei jedem Browserstart automatisch aktiviert wird. Da die Erweiterung nicht in offiziellen Marktplätzen verfügbar ist, verlassen sich die Angreifer auch auf Unternehmensrichtlinien wie ExtensionInstallForcelist oder ExtensionSettings sowie auf Sideloading-Tricks und einen ScriptCache-Fallback. Drei PowerShell-Skripte unterstützen diese Manipulation: install_silent.ps1 aktiviert den Entwicklermodus, um beliebige Erweiterungen zu sideloaden, patch_secure_prefs.ps1 patcht die Secure Preferences-Datei, und force_enable.ps1 entfernt die Erweiterung aus der external_uninstalls-Liste des Browsers, platziert die CRX-Datei unter %LOCALAPPDATA%PEEPcrx, registriert sie erneut über den HKCU Extensions-Schlüssel und ein External Extensions-JSON-Manifest und startet dann den Browser neu. Ein Python-Skript namens patch_secure_prefs_linux.py deutet darauf hin, dass die Betreiber auch daran arbeiten, dasselbe Verhalten auf Linux-Systemen zu replizieren. Sobald die Erweiterung startet, analysiert sie eine Konfigurationsdatei, um C2-Informationen zu erhalten und die automatische Datenerfassung zu aktivieren, während ein begleitendes Content-Skript namens content.js in alle aktiven Webseiten eingebettet wird.

SOCRadar ordnete die Kampagne keiner bekannten Gruppe zu, aber die Forscher stellten das Vorhandensein chinesischsprachiger Artefakte im Quellcode fest, was auf einen chinesischsprachigen Bedrohungsakteur hindeutet. Sie fanden auch Verweise auf 'Authorized CTF'-Nutzung, was darauf hindeutet, dass die Autoren das Projekt möglicherweise als autorisierte Capture-the-Flag-Übung dargestellt haben, um die Sicherheitsvorkehrungen von KI-Tools während der Entwicklung zu senken. Es gibt derzeit keine Hinweise darauf, wer ins Visier genommen wird. Der C2-Health-Endpunkt meldete 34 Agenteneinträge, 10 aktive Sitzungen und 507 Datensätze, obwohl SOCRadar anmerkt, dass es unmöglich ist, tatsächlich infizierte Hosts von Testeinträgen oder verifizierten Bereitstellungen zu unterscheiden. Da die Logik von PEEP innerhalb des signierten Browserprozesses läuft, kann sie laut den Forschern Erkennungen umgehen, die sich auf neue oder unsignierte Binärdateien konzentrieren, was den Browser selbst zu einem Endpunkt-Dreh- und Angelpunkt für Anmeldedatendiebstahl, Sitzungsmissbrauch und Befehlsausführung macht. Für Website-Betreiber und IT-Teams besteht das praktische Risiko darin, dass ein kompromittierter Browser einem Angreifer die Passwörter und Sitzungscookies liefern kann, die für die Übernahme von Admin-Panels, Hosting-Konten und anderen Online-Diensten erforderlich sind. Für Teams, die Mitarbeiter-Endpunkte verwalten, kann AEU-I, der sicherheitsorientierte IT- und Infrastrukturberatungsdienst der AEU Group, Organisationen dabei helfen, Browser-Erweiterungsrichtlinien und Host-Härtungskontrollen zu überprüfen, bevor ein Angreifer den Browser bewaffnet. Die genaue Überwachung installierter Erweiterungen, die Durchsetzung von Allowlists und die Aktualisierung von Browser- und Betriebssystemsoftware bleiben die erste Verteidigungslinie gegen Post-Kompromittierungs-Tools wie PEEP.