Microsoft, Edge eklenti mağazasından 119 uzantıyı kaldırdı. Bu uzantıların tamamı, 'StegoAd' adı verilen bir reklam yazılımı kampanyasına bağlıydı. Microsoft araştırmacıları, 'Inside StegoAd: How We Disrupted a Massive Malicious Extension Campaign' başlıklı raporda, bu karmaşık kötü amaçlı yazılım kampanyasının nasıl tespit edildiğini ve engellendiğini detaylandırdı. Kampanya kapsamında 119 uzantı, 2.6 milyon kullanıcı tarafından indirilmişti.
Söz konusu uzantılar, reklam engelleyici, VPN, çeviri aracı, video indirici, hesap makinesi ve kupon uzantısı gibi görünüşte yararlı işlevler sunuyordu. Ancak bir süre sonra 'uyuyan' hale gelerek gizlice kötü amaçlı yazılım indirmeye başladılar. Yüklenen yazılımlar arasında reklam dolandırıcılığı için kullanılan kötü amaçlı yazılımların yanı sıra, sunucudan gönderilen rastgele JavaScript çalıştıran, Google kimlik bilgilerini ve ikinci faktör kodlarını çalan, WordPress yönetici girişlerini toplayan ve oturum ele geçirme için toplu çerez sızdıran uzantılar da bulunuyordu.
Kampanyanın adı olan 'StegoAd', reklam ve steganografi kelimelerinin birleşiminden oluşuyor. Steganografi, gizli verileri şüphe uyandırmayan bir şeyin içine gizleme tekniğidir. Bu durumda, kötü amaçlı kod görüntülerin içine gizlenmişti. Siber suçlular, tespit edilmekten kaçınmak için beklemek ve kodu görüntülere gizlemekle kalmamış, aynı zamanda bazı kurbanları da yalnız bırakmıştı. Uzantıların yalnızca yaklaşık %10'u kötü amaçlı yazılımın bir sonraki aşamasını çalıştırırken, diğer %90'ı (en azından bu çalıştırma girişiminde) dokunulmadan bırakılmıştı. Ayrıca, bilinen meşru uzantıların adlarını kullanarak ek güven katmanı oluşturmuşlardı.
Detaylar ve Etkileri
Microsoft, bu kampanyayı Edge üzerinden tespit etmiş olsa da, kullanılan teknikler genel olarak Chromium tabanlı tarayıcılar için geçerlidir. Kampanya, bir tarayıcı güvenlik açığından yararlanmaktan çok, kullanıcıları güvenilir görünen bir uzantıyı yüklemeye ikna etmeye ve ardından tespit edilmekten kaçınmak için karmaşık gizleme teknikleri kullanmaya dayanıyordu. Kullanıcıların, saygın uygulama mağazalarından bile olsa, uzantı indirirken dikkatli olmaları, geliştiriciye güvenmeleri ve güncel bir gerçek zamanlı güvenlik çözümü kullanmaları öneriliyor.
