Las extensiones eran de esas que la gente instala sin pensarlo dos veces

Microsoft ha clausurado una operación de extensión maliciosa de larga duración en la tienda de extensiones de Edge que ocultaba su código malicioso dentro de archivos de imagen y fuente comunes, y que días después de la instalación se activaba para robar credenciales y realizar fraude publicitario.

La empresa lo denomina StegoAd, una combinación de esteganografía y adware, y vincula 119 extensiones a un único actor de amenazas que, según afirma, ha estado activo desde al menos 2021.

Las extensiones eran de esas que la gente instala sin pensarlo dos veces: bloqueadores de anuncios, VPN, traductores, descargadores de vídeo. Cada una cumplía su función y recibía buenas reseñas. El código malicioso permanecía inactivo hasta que la extensión superaba una serie de controles de seguridad, y así fue como se quedó en la tienda durante años.

En conjunto, las 119 extensiones contaban con una base de usuarios instalada de hasta 2,6 millones. Microsoft deja claro que esta cifra representa un límite máximo, no el número de usuarios afectados.

Un retraso de varios días, la validación del servidor y una restricción de ejecución del 10 % en algunas variantes provocaron que el malware nunca se ejecutara en muchas instalaciones. Se desconoce cuántas personas resultaron afectadas.

Código oculto en imágenes y fuentes

El truco que da nombre a la campaña es la esteganografía: ocultar código ejecutable dentro de archivos que parecen completamente normales. Las primeras variantes añadían JavaScript después del marcador IEND de un icono PNG, de modo que la imagen se visualizaba correctamente en todas partes, a la vez que contenía una carga útil que los escáneres estáticos nunca detectaban.

A medida que mejoraba la detección, el atacante pasó a usar imágenes WebP y luego archivos de fuentes WOFF2, ocultando código en rangos de glifos que se interpretaban como texto asiático o metadatos de fuentes. Microsoft afirma que la esteganografía a esta escala es poco común en el ecosistema de extensiones de navegador.

Algunas variantes de alto impacto ni siquiera enviaban la carga útil localmente. Obtenían una imagen de apariencia normal de un servidor de comando y control. La extensión la decodificaba mediante capas de intercambio de mayúsculas y minúsculas, intercambio de dígitos, Base64 y XOR, y luego la comparaba con una firma antes de ejecutarla.

El servidor C2 solo servía el archivo real a las solicitudes que superaban una verificación de huella digital y de agente de usuario; Cualquiera que lo sondeara directamente, incluidos los investigadores, recibiría una respuesta vacía.

Las extensiones también vigilaban si había herramientas para desarrolladores abiertas y prolongaban su estado de inactividad si detectaban que un analista las estaba utilizando.

Fraude publicitario en la superficie, robo de credenciales en el fondo

El daño visible fue el fraude publicitario: anuncios insertados, comisiones de afiliados robadas en Amazon, eBay y AliExpress, y búsquedas redireccionadas, todo ello para desviar dinero a la vez que se degradaba la experiencia de navegación.

El análisis de Microsoft de las cargas útiles recuperadas reveló mucho más de lo esperado. Estas cargas incluían una puerta trasera de ejecución remota de código que ejecutaba JavaScript arbitrario enviado desde el servidor. También robaban credenciales de Google y códigos de autenticación de segundo factor al iniciar sesión, obtenían credenciales de administrador de WordPress y extraían cookies masivamente para secuestrar sesiones.

Microsoft afirma que siete identificadores de seguimiento de Google Analytics parecen haber servido como telemetría encubierta, proporcionando al operador paneles de control casi en tiempo real sobre la campaña a través de la propia infraestructura de Google.

La infraestructura estaba a la altura de la ambición. Microsoft cuenta con más de diez dominios C2 con conmutación por error automática. El atacante redirigió el tráfico a través de Cloudflare Workers y abusó de GitHub Pages para alojar balizas.

Un marco polimórfico se ejecutaba en aproximadamente 66 extensiones con más de 15 variantes de nomenclatura, y la operación migró de Manifest V2 a V3 a medida que el actor se adaptaba a los cambios de la plataforma.

¿Qué hacer?

Microsoft afirma haber eliminado las 119 extensiones y suspendido las más de 90 cuentas de desarrollador asociadas a ellas. La lista completa de identificadores de extensión se encuentra en el informe técnico de la compañía ^[PDF].

Abre edge://extensions y compara tus complementos instalados con la lista. Si encuentras alguno coincidente, o si Edge eliminó alguno automáticamente, considera que el navegador está expuesto. Cambia las contraseñas de Google, WordPress, cuentas bancarias y otras cuentas confidenciales.

Revisa la actividad reciente de inicio de sesión y activa la autenticación de dos factores reforzada. Las llaves de seguridad de hardware ofrecen mayor resistencia a este tipo de robo de credenciales que los códigos SMS. Microsoft publicó indicadores de compromiso para su uso en Chrome, Firefox y otros navegadores basados ​​en Chromium.

StegoAd se parece menos a una campaña nueva que a una ya conocida. Su carga útil de credenciales se filtra a mitarchive.info, un dominio que Koi Security vincula con DarkSpectre, la operación china que en diciembre relacionó con las campañas de extensión ShadyPanda y GhostPoster.

La conexión va más allá del dominio. StegoAd oculta código dentro del icono de la extensión, el mismo método que GhostPoster utilizó meses antes. Incluso comparten nombres de extensión, como Ads Block Ultimate.

Microsoft no ha revelado la identidad del responsable, pero la coincidencia es evidente. El operador sigue activo, según Microsoft.