Il malware PEEP trasforma Chrome ed Edge in backdoor remoti

Il malware PEEP, un toolkit post-compromissione recentemente descritto in dettaglio, può trasformare Google Chrome e Microsoft Edge in backdoor remoti persistenti una volta che un attaccante ha già ottenuto un punto d'appoggio su una macchina. I ricercatori di cybersecurity di SOCRadar hanno divulgato il framework, che si maschera da estensione per segnalibri per browser basati su Chromium, ma in realtà è progettato per rubare credenziali, dirottare sessioni ed eseguire comandi sul sistema operativo host. Lo strumento non contiene un proprio metodo di accesso iniziale, quindi deve essere distribuito dopo che un attaccante ha già compromesso una macchina con altri mezzi.

Il malware si installa iniettando l'estensione direttamente nei profili del browser, bypassando il Chrome Web Store e i prompt dell'utente. Per fare ciò, falsifica i valori di integrità all'interno del file Secure Preferences di Chromium, un file di configurazione che normalmente impedisce l'attivazione silenziosa di estensioni non autorizzate. SOCRadar spiega che, una volta installata, l'agente dell'estensione interroga un server di comando e controllo, identificato come 206.237.30[.]232 o xfjcc[.]fun, ogni 30 secondi su HTTP in chiaro per nuovi comandi. Allo stesso tempo esfiltra la cronologia di navigazione, i metadati della scheda attiva e i cookie di sessione. L'estensione supporta anche screenshot, accesso agli appunti e iniezione di JavaScript, e può alterare le pagine web al volo. Ma la capacità più significativa deriva da un eseguibile ausiliario chiamato nm_host.exe, che agisce come host di messaggistica nativo. Quando un comando richiede l'accesso al sistema operativo, l'estensione chiama questo binario per eseguire comandi shell, gestire file e scoprire processi e servizi. Questo trasforma il malware da un semplice ladro di credenziali in uno strumento più ampio di accesso remoto e monitoraggio del browser.

PEEP è costruito sul framework open-source RedExt, che è stato precedentemente utilizzato negli attacchi GlassWorm, ma espande quella base con routine di installazione dedicate, un bridge host nativo, telemetria heartbeat, un canale di aggiornamento e un set di comandi più ampio. SOCRadar afferma che questo rende PEEP un derivato di RedExt. L'estensione si maschera come 'Smart Bookmarks' con l'ID ejkndncpkdcjcikfhiamcdehdoegilbj. Il suo agente principale esegue un ciclo di beacon: interroga l'endpoint '/api/commands' per nuovi task, raccoglie dati del browser e invia i risultati. Endpoint separati gestiscono la registrazione ('/api/register'), i dati heartbeat come stringa User-Agent, sistema operativo e fuso orario ('/api/agents//heartbeat'), aggiornamenti dell'estensione ('/api/extension_update/' e '/api/extension_crx/'), risultati dei task tramite '/api/agents//task_result', ed esfiltrazione automatica di dati raccolti come cookie, cronologia recente, schede aperte, URL attivo, indirizzo IP pubblico, locale e fuso orario tramite '/api/exfil'. Due ulteriori endpoint, '/health' e '/login', espongono lo stato interno del sistema e un pannello C2 sulla porta 5001.

Per garantire che l'estensione dannosa rimanga attiva, PEEP modifica il file Secure Preferences di Chromium in modo che l'estensione venga abilitata automaticamente ogni volta che il browser viene avviato. Poiché l'estensione non è disponibile sui marketplace ufficiali, gli attaccanti si affidano anche a policy aziendali come ExtensionInstallForcelist o ExtensionSettings, oltre a trucchi di sideloading e un fallback ScriptCache. Tre script PowerShell supportano questa manomissione: install_silent.ps1 abilita la Modalità Sviluppatore per sideloadare estensioni arbitrarie, patch_secure_prefs.ps1 corregge il file Secure Preferences e force_enable.ps1 rimuove l'estensione dalla lista external_uninstalls del browser, posiziona il file CRX in %LOCALAPPDATA%PEEPcrx, lo ri-registra tramite la chiave HKCU Extensions e un manifest JSON di Estensioni Esterne, e quindi riavvia il browser. Uno script Python chiamato patch_secure_prefs_linux.py indica che gli operatori stanno anche lavorando per replicare lo stesso comportamento sui sistemi Linux. Una volta che l'estensione si avvia, analizza un file di configurazione per ottenere informazioni C2 e attivare la raccolta automatica dei dati, mentre uno script di contenuto compagno chiamato content.js viene incorporato in tutte le pagine web attive.

SOCRadar non ha attribuito la campagna a nessun gruppo noto, ma i ricercatori hanno notato la presenza di artefatti in lingua cinese nel codice sorgente, il che indica un attaccante di lingua cinese. Hanno anche trovato riferimenti all'uso 'Authorized CTF', il che suggerisce che gli autori potrebbero aver inquadrato il progetto come un esercizio autorizzato di capture-the-flag per abbassare le salvaguardie di sicurezza degli strumenti AI durante lo sviluppo. Attualmente non ci sono indicazioni su chi sia preso di mira. L'endpoint di salute C2 ha riportato 34 voci di agenti, 10 sessioni attive e 507 record di dati, anche se SOCRadar nota che è impossibile distinguere gli host realmente infetti da voci di test o distribuzioni verificate. Poiché la logica di PEEP viene eseguita all'interno del processo del browser firmato, i ricercatori spiegano che può sfuggire ai rilevamenti che si concentrano su binari nuovi o non firmati, rendendo il browser stesso un punto di pivot per il furto di credenziali, l'abuso di sessioni e l'esecuzione di comandi. Per i proprietari di siti web e i team IT, il rischio pratico è che un browser compromesso possa consegnare a un attaccante le password e i cookie di sessione necessari per assumere il controllo di pannelli di amministrazione, account di hosting e altri servizi online. Per i team che gestiscono endpoint dei dipendenti, AEU-I, il servizio di consulenza IT e infrastruttura security-first di AEU Group, può aiutare le organizzazioni a rivedere le policy sulle estensioni del browser e i controlli di hardening dell'host prima che un attaccante trasformi il browser in un'arma. Tenere sotto controllo le estensioni installate, applicare allowlist e aggiornare il browser e il sistema operativo rimangono le prime linee di difesa contro strumenti post-compromissione come PEEP.