新恶意扩展曝光：利用C&C服务器滥用Chrome同步功能获取数据

朦胧的风

来自克罗地亚的安全研究专家 Bojan Zdrnja 本周四表示，他发现了一个恶意扩展程序利用远程命令和控制（C&C）服务器，从受感染的浏览器中渗出数据的方式滥用 Chrome 的同步功能。



Zdrnja 表示在他的调查过程中，攻击者获得了受害者电脑的访问权限，但由于他们想要窃取的数据是在一名员工的门户网站内，所以他们在用户电脑上下载了一个 Chrome 扩展，并通过浏览器的开发者模式加载。



该扩展程序冒充安全公司 Forcepoint 的安全插件，包含恶意代码，滥用 Chrome 的同步功能，以此让攻击者控制被感染的浏览器。Zdrnja 表示，这个特定攻击者的目标是利用该扩展程序“操纵受害者可以访问的内部网络应用程序中的数据”。

在本周四发布的一份报告中，Zdrnja 表示：“虽然他们也想扩大自己的访问范围，但实际上他们将这个工作站上的活动限制在与网络应用相关的活动上，这也解释了为什么他们只丢弃了恶意的Chrome扩展，而没有丢弃任何其他安装文件。为了设置、读取或删除这些密钥，攻击者只需在另一个Chrome浏览器中以相同的账户登录谷歌（这可以是一个抛弃式账户），他们就可以通过滥用谷歌的基础设施与受害者网络中的Chrome浏览器进行通信”。

https://www.cnbeta.com/articles/tech/1087929.htm