Тем, кто не использует Chrome, напомню, что эта функция используется для синхронизации данных между разными устройствами пользователя, и хранит копии всех пользовательских закладок, историю просмотров, пароли, а также настройки браузера и его расширений на облачных серверах Google. Но, как оказалось, синхронизацию можно использовать для отправки команд зараженным браузерам, а также кражи данных из зараженных систем, минуя брандмауэры и другие средства защиты.
Здрня пишет, что в ходе изученного им инцидента злоумышленник получил доступ к компьютеру жертвы, но не смог похитить данные, так как те находились внутри портала для сотрудников. Тогда хакер загрузил на машину жертвы вредоносное расширение для Chrome и запустил его через Developer Mode.
Расширение маскировалось под защитный продукт от компании Forcepoint и содержало вредоносный код, который злоупотреблял функцией синхронизации, позволяя атакующему контролировать зараженный браузер. В данном случае расширение использовалось для манипулирования данными во внутреннем веб-приложении, к которому жертва имела доступ.
Вредоносный код, обнаруженный в расширении, позволял злоумышленнику создать специальное текстовое поле для хранения ключей токенов, которые затем синхронизировались с облачными серверами Google. По словам исследователя, в таком поле могут храниться любые данные: это могла быть информация, собранная вредоносным расширением о зараженном браузере (например, имена пользователей, пароли, криптографические ключи и так далее), или напротив — команды, которые расширение должно выполнить на зараженном хосте.
Таким образом, вредоносное расширение может использоваться для «слива» данных из корпоративных сетей в Chrome злоумышленника, причем минуя локальные средства защиты. Ведь украденный контент или команды передаются через инфраструктуру Chrome, а браузеру Google обычно разрешено беспрепятственно работать и передавать данные, то есть активность хакера не вызовет подозрений и не будет блокироваться в большинстве корпоративных сетей.
Вместо этого исследователь советует использовать корпоративные функции Chrome и групповые политики, чтобы блокировать или жестко контролировать то, какие расширения могут быть установлены в браузере.
