I ricercatori di Koi Securuty hanno trovato 10 estensioni infette sul Chrome Web Store. Apparentemente sembrano legittime, ma vengono in realtà sfruttate per eseguire varie attività pericolose, tra cui il tracciamento della navigazione. Google ha rimosso tutte le estensioni. Altre 8 sono state individuate sullo store di Microsoft.
Estensioni verificate con recensioni positive
Le estensioni pubblicate sugli store di Google e Microsoft fanno parte della campagna RedDirection. Quelle pubblicate sul Chrome Web Store erano quasi tutte verificate, quindi c’era il badge blu accanto al nome dello sviluppatore. Avevano inoltre recensioni positive e un numero di installazioni piuttosto alto (oltre 1,7 milioni in totale). Questo è l’elenco completo:
- Color Picker, Eyedropper — Geco colorpick
- Emoji keyboard online — copy&paste your emoji
- Free Weather Forecast
- Video Speed Controller — Video manager
- Unlock Discord — VPN Proxy to Unblock Discord Anywhere
- Dark Theme — Dark Reader for Chrome
- Volume Max — Ultimate Sound Booster
- Unblock TikTok — Seamless Access with One-Click Proxy
- Unlock YouTube VPN
- Weather
Color Picker, Eyedropper — Geco colorpick, ad esempio, offriva la funzionalità pubblicizzata, ma nel frattempo tracciava la navigazione, dirottava il browser su altri siti e manteneva la persistenza tramite backdoor. Alcune estensioni erano veri e propri tool di spionaggio.
Il trucco usato per aggirare i controlli è identico a quello sfruttato dai malware per Android. La versione iniziale dell’app era pulita. Il codice infetto è stato aggiunto successivamente con un aggiornamento che veniva installato automaticamente da Chrome.
Sullo store di Microsoft sono state trovate queste estensioni infette con un totale di oltre 600.000 download:
- Unlock TikTok
- Volume Booster — Increase your sound
- Web Sound Equalizer
- Header Value
- Flash Player — games emulator
- Youtube Unblocked
- SearchGPT — ChatGPT for Search Engine
- Unlock Discord
Se sono state installate devono essere rimosse immediatamente. Gli utenti devono inoltre eliminare tutti i dati del browser, controllare le attività degli account ed effettuare una scansione completa del computer con un antivirus aggiornato.
