Dati sensibili a rischio a causa di alcune estensioni di Chrome ed Edge

Lo scorso dicembre, una nota società di sicurezza ha dichiarato 28 estensioni dei browser Chrome ed Edge hanno contribuito ad infettare ben tre milioni di utenti, rubandone dati personali e reindirizzandoli verso siti di annunci e phishing. Sulla scia di tale notizia, alcuni ricercatori di Avast hanno approfondito il funzionamento di tali estensioni, scoprendo un nuovo metodo di attacco molto particolare.

Sfruttare l'header HTTP Cache-Control

Le 28 estensioni malevole erano disponibili fino a poco tempo fa nei repository ufficiali di Google e Microsoft, fornendo (secondo la descrizione pubblicata nelle relative pagine) servizi per scaricare immagini, video o altri contenuti da siti quali Facebook, Instagram, Vimeo e Spotify. In realtà, queste app finivano per raccogliere informazioni sensibili degli utenti, come date di nascita, indirizzi email e altre informazioni sul dispositivo utilizzato, reindirizzando inoltre molti clic e risultati di ricerca verso siti dannosi. Fortunatamente, Google e Microsoft hanno già provveduto a rimuovere le estensioni in questione dai loro repository.

I ricercatori di Avast, che si sono occupati di analizzare approfonditamente il comportamento di questi software, hanno spiegato che gli sviluppatori di queste estensioni son riusciti a sfruttare una nuova tecnica per nascondere i dati inviati dai dispositivi ai server. Tale tecnica consiste nell'incanalare i comandi all'interno degli header HTTP Cache-Control, al fine di camuffarli in modo da apparire come dati relativi a Google Analytics, che i siti web utilizzano generalmente per misurare le interazioni dei visitatori.

Le estensioni inviavano quelle che sembravano essere richieste di analisi standard di Google, quando in realtà i relativi server rispondevano con un'intestazione Cache-Control appositamente formata, che il client era poi in grado di decifrare, analizzare ed eseguire.

Altri metodi di attacco

In aggiunta al camuffamento dei dati all'interno dell'header Cache-Control, queste estensioni hanno sfruttato spesso anche altri metodi, apparentemente più semplici dal punto di vista tecnico, ma al tempo stesso molto efficaci. Il tutto allo scopo di celare il più possibile le proprie tracce, soprattutto ai potenziali "investigatori". Tra queste tecniche, menzioniamo le tre seguenti:

• le estensioni evitavano di infettare utenti che potessero essere sviluppatori, ricercatori o esperti di informatica. Per capire il profilo degli utenti, esse esaminavano le altre estensioni già installate sui browser degli utenti, e controllavano se l'utente accedeva a siti web ospitati localmente (cosa tipica di chi si occupa di sviluppo web). Inoltre, nel caso in cui un'estensione avesse rilevato l'apertura degli strumenti di sviluppo del browser, tutte le funzionalità "incriminabili" venivano automaticamente disattivate;
• le funzionalità malevole di queste estensioni venivano attivate solo dopo tre giorni dall'installazione;
• le estensioni di preoccupavano di controllare le ricerche effettuate su Google dagli utenti. Nel caso in cui la ricerca riguardava l'estensione, quest'ultima disattivava preventivamente ogni attività dannosa.

L'intero ciclo di funzionamento è descritto nell'immagine seguente, tratta proprio dal sito di Avast in cui il processo è analizzato e spiegato in dettaglio: