Stanley MaaS обходит безопасность Chrome Web Store с гарантированными вредоносными расширениями

Киберпреступники запустили MaaS-платформу «Stanley», атакующую Chrome Web Store

Вновь выявленная вредоносная платформа Malware-as-a-Service (MaaS), получившая название «Stanley», позволяет злоумышленникам внедрять вредоносные расширения для Chrome, которые успешно обходят процесс проверки Google и публикуются в официальном Chrome Web Store. Сервис гарантирует доставку расширений, ориентированных на фишинговые атаки, что создает значительные риски для пользователей и организаций.

Технические детали

По данным исследователей, Stanley работает по модели MaaS с подпиской, предоставляя киберпреступникам готовые вредоносные расширения для Chrome, разработанные для уклонения от обнаружения как автоматизированными, так и ручными проверками Google. Эти расширения предназначены для проведения фишинговых атак, кражи конфиденциальных данных, таких как учетные данные для входа, финансовая информация и сессионные cookies.

Основные характеристики Stanley MaaS включают:

• Методы уклонения: Расширения маскируются под легитимные, скрывая вредоносное поведение, например, за счет динамической загрузки кода или отложенного выполнения.
• Механизмы персистентности: Некоторые варианты могут использовать методы для сохранения доступа даже после перезапуска браузера или его обновления.
• Целевой фишинг: Расширения нацелены на кражу учетных данных у высокоприоритетных целей, включая корпоративных пользователей и финансовые учреждения.

На момент публикации конкретные CVE-идентификаторы уязвимостей, эксплуатируемых этими расширениями, не были присвоены. Однако сервис демонстрирует критические пробелы в механизмах проверки Chrome Web Store, особенно в обнаружении обфусцированных или отложенных вредоносных полезных нагрузок.

Анализ последствий

Появление Stanley подчеркивает растущую сложность предложений MaaS, снижая порог входа для киберпреступников с ограниченными техническими навыками. Возможность публиковать вредоносные расширения в Chrome Web Store — платформе, которая считается доверенной, — усиливает риск крупномасштабных фишинговых кампаний, направленных на:

• Корпоративных пользователей: Могут быть скомпрометированы корпоративные учетные данные и внутренние системы, что приведет к утечкам данных или горизонтальному перемещению по сети.
• Частных лиц: Личные аккаунты, включая банковские и почтовые, подвержены риску кражи учетных данных и финансового мошенничества.
• Разработчиков: Вредоносные расширения могут быть случайно установлены разработчиками, что приведет к атакам на цепочку поставок, если расширения интегрированы с легитимным ПО.

Chrome Web Store исторически был целью для злоумышленников из-за своей огромной пользовательской базы (более 3 миллиардов пользователей Chrome). Хотя Google использует автоматизированное сканирование и ручные проверки для снижения рисков, Stanley MaaS показывает, что целеустремленные атакующие все еще могут эксплуатировать пробелы в этом процессе.

Рекомендации для ИБ-команд

Для снижения рисков, связанных с вредоносными расширениями Chrome, специалистам по информационной безопасности следует:

1. Внедрить политики управления расширениями: Ограничить установку расширений Chrome списком предварительно одобренных, особенно в корпоративной среде. Используйте Group Policy или Chrome Enterprise Policy для принудительного применения этих ограничений.

2. Мониторинг аномалий: Разверните решения для обнаружения и реагирования на угрозы на конечных точках (EDR), чтобы отслеживать необычное поведение расширений, например, несанкционированную эксфильтрацию данных или сетевые подключения к известным вредоносным доменам.

3. Обучение пользователей: Проводите тренинги по кибербезопасности, чтобы помочь пользователям распознавать фишинговые атаки и риски установки непроверенных расширений, даже из Chrome Web Store.

4. Использовать угрозную разведку: Подписывайтесь на фиды угрозной разведки, отслеживающие вредоносные расширения и MaaS-операции. Делитесь индикаторами компрометации (IOC) с коллегами по отрасли для улучшения коллективной защиты.

5. Регулярные аудиты: Периодически проводите аудит установленных расширений на корпоративных устройствах для выявления и удаления несанкционированных или подозрительных дополнений.

6. Сообщать о подозрительных расширениях: Поощряйте пользователей сообщать о расширениях с подозрительным поведением через инструмент отчетности Chrome Web Store.

Заключение

Операция Stanley MaaS демонстрирует развитие ландшафта киберугроз, где злоумышленники все чаще используют доверенные платформы, такие как Chrome Web Store, для распространения вредоносного ПО. ИБ-команды должны применять проактивный подход, сочетая технические меры контроля, обучение пользователей и угрозную разведку для защиты от этих сложных атак. Пока Google продолжает совершенствовать процессы проверки, организации должны оставаться бдительными, чтобы защитить своих пользователей и данные от фишинга и кражи учетных данных.