Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Falsi Ad-Blocker sul Chrome Store. Colpiti 20 milioni di PC

Apr 20, 2018 Marco Schiaffino In evidenza, Malware, Minacce, News, RSS, Trojan 1

Le estensioni sembrano identiche a quelle legittime, ma al loro interno c’è del codice “aggiuntivo”. Spiano la navigazione e potrebbero fare di peggio.

I problemi di Google nel controllare la presenza di malware nei suoi store non si limita al mondo Android. A lasciare piuttosto a desiderare (come già accaduto in passato) è anche la gestione del Web Store di Chrome.

La conferma arriva da un report pubblicato da AdGuard, che ha individuato una serie di estensioni infette che sarebbero state scaricate da 20 milioni di utenti Chrome.

Si tratta in (quasi) tutti i casi di Ad-Blocker, cioè le estensioni che eliminano le pubblicità dalle pagine Web che visitiamo e in tutti i casi il meccanismo usato dai cyber-criminali per diffondere i loro componenti aggiuntivi è sempre lo stesso: al codice originale viene fatta una piccola “aggiunta”.

Le estensioni sono rimaste nello store ufficiale per parecchio tempo. Le hanno installate quasi 20 milioni di persone.

Il caso analizzato in profondità dai ricercatori è quello di AdRemover, un’estensione che, stando ai dati di Google, potrebbe vantare più di 10 milioni di installazioni.

Le porzioni di codice “galeotte” individuate da AdGuard sono tre. La prima è uno script che viene inserito nella libreria JQuery. Il suo compito è quello di invocare un altro script (anche questo offuscato) che avvia un monitoraggio della navigazione.

Quando il sito visitato corrisponde a uno di quelli contenuti nell’elenco del file coupons.txt (il secondo “ospite” individuato in AdRemover) lo script utilizza un iFrame per inviare le informazioni sulla navigazione a un dominio predefinito.

La parte più inquietante, però, è rappresentata dal terzo elemento inserito dai cyber-criminali nell’estensione. Si tratta, a prima vista, di una semplice immagine che viene scaricata da hanstrackr.com. Al suo interno, però, è nascosto un altro script.

L’esemplare individuato da AdGuard sembra essere inoffensivo, ma considerando il fatto che l’immagine viene caricata a ogni avvio, i pirati informatici che gestiscono AdRemover possono modificarlo in qualsiasi momento e utilizzarlo per modificare il comportamento del browser a loro piacimento.

Insomma: il livello di controllo che avrebbero sarebbe simile a quello di una classica botnet, che in questo caso è composta da più di 10 milioni di browser.

AdRemover, però, non è solo: insieme a lui erano presenti sullo store anche uBlock Plus (oltre 8 milioni di utilizzatori); Adblock Pro (2 milioni); HD for YouTube™ (400.000 utilizzatori) e la “cenerentola” Webutation, installato solo su 30.000 computer. Tutte le estensioni sono state rimosse in seguito alla segnalazione di AdGuard.

Condividi l'articolo