Investigadores de SquareX descubren un ataque OAuth en extensiones de Chrome días antes de una importante vulneración

PALO ALTO, California, EE. UU., 30 de diciembre de 2024/CyberNewsWire/--SquareX, la primera solución de detección y respuesta del navegador (BDR) de la industria, lidera el camino en seguridad del navegador.

Hace aproximadamente una semana, SquareX reportado Ataques a gran escala dirigidos a desarrolladores de extensiones de Chrome que tenían como objetivo apoderarse de la extensión de Chrome de Chrome Store.

El 25 de diciembre de 2024, se publicó en Chrome Store una versión maliciosa de la extensión del navegador de Cyberhaven que permitía al atacante secuestrar sesiones autenticadas y extraer información confidencial.

El extensión maliciosa Estuvo disponible para descargar durante más de 30 horas antes de que Cyberhaven lo eliminara. La empresa de prevención de pérdida de datos se negó a hacer comentarios sobre el alcance del impacto cuando la prensa se puso en contacto con ella, pero la extensión tenía más de 400.000 usuarios en la red. Tienda Chrome en el momento del ataque.

Desafortunadamente, el ataque ocurrió cuando los investigadores de SquareX habían... identificado Un ataque similar con un video demostrando toda la ruta de ataque apenas una semana antes de la violación de Cyberhaven.

El ataque comienza con un correo electrónico de phishing que se hace pasar por Chrome Store y contiene una supuesta violación del “Acuerdo de desarrollador” de la plataforma, instando al receptor a aceptar las políticas para evitar que su extensión sea eliminada de Chrome Store.

Al hacer clic en el botón de política, se le solicita al usuario que conecte su cuenta de Google a una “Extensión de política de privacidad”, que otorga al atacante acceso para editar, actualizar y publicar extensiones en la cuenta del desarrollador.

Figura 1. Desarrolladores de extensiones de correo electrónico de phishing

Fig. 2. Extensión de política de privacidad falsa que solicita acceso para “editar, actualizar o publicar” la extensión del desarrollador

Las extensiones se han convertido en una forma cada vez más popular para que los atacantes obtengan acceso inicial.

Esto se debe a que la mayoría de las organizaciones tienen un control limitado sobre las extensiones de navegador que utilizan sus empleados. Incluso los equipos de seguridad más rigurosos no suelen supervisar las actualizaciones posteriores una vez que una extensión está en la lista blanca.

SquareX ha llevado a cabo una investigación exhaustiva y ha demostrado en DEFCON 32, Cómo se pueden usar extensiones compatibles con MV3 para robar transmisiones de video, agregar un colaborador silencioso de GitHub y robar cookies de sesión, entre otros.

Los atacantes pueden crear una extensión aparentemente inofensiva y luego convertirla en una maliciosa después de la instalación o, como se demuestra en el ataque anterior, engañar a los desarrolladores detrás de una extensión confiable para obtener acceso a una que ya tiene cientos de miles de usuarios.

En el caso de Cyberhaven, los atacantes pudieron robar credenciales de la empresa en múltiples sitios web y aplicaciones web a través de la versión maliciosa de la extensión.

Dado que los correos electrónicos de los desarrolladores aparecen públicamente en Chrome Store, es fácil para los atacantes apuntar a miles de desarrolladores de extensiones a la vez.

Estos correos electrónicos se utilizan normalmente para informar errores. Por lo tanto, incluso los correos electrónicos de soporte técnico de las extensiones de empresas más grandes suelen dirigirse a desarrolladores que pueden no tener el nivel de conocimiento de seguridad necesario para sospechar de un ataque de este tipo.

Según la revelación del ataque de SquareX y la violación de seguridad de Cyberhaven que ocurrió en menos de dos semanas, la empresa tiene motivos sólidos para creer que muchos otros proveedores de extensiones de navegador están siendo atacados de la misma manera. SquareX insta a las empresas y a los particulares a realizar una inspección cuidadosa antes de instalar o actualizar cualquier extensión de navegador.

Figura 3. Los datos de contacto de los desarrolladores de extensiones están disponibles públicamente en Chrome Store

El equipo de SquareX entiende que no es tarea fácil evaluar y monitorear cada extensión del navegador en la fuerza laboral en medio de todas las prioridades de seguridad en competencia, especialmente cuando se trata de ataques de día cero.

Como se demuestra en el video La aplicación de política de privacidad falsa involucrada en la violación de Cyberhaven ni siquiera fue detectada por ningún canal de amenazas popular.

Solución de detección y respuesta del navegador (BDR) de SquareX Elimina esta complejidad de los equipos de seguridad al:

• Bloquear las interacciones de OAuth con sitios web no autorizados para evitar que los empleados otorguen accidentalmente a los atacantes acceso no autorizado a su cuenta de Chrome Store
• Bloquear y/o marcar cualquier actualización de extensión sospechosa que contenga permisos nuevos y riesgosos
• Bloquear y/o marcar cualquier extensión sospechosa con una oleada de críticas negativas
• Bloqueo y/o señalización de instalaciones de extensiones transferidas lateralmente
• Agilice todas las solicitudes de instalaciones de extensiones fuera de la lista autorizada para una aprobación rápida según la política de la empresa
• Visibilidad completa de todas las extensiones instaladas y utilizadas por los empleados en toda la organización

El fundador de SquareX Vivek Ramachandran advierte: “Los ataques de identidad dirigidos a extensiones de navegador similares a este ataque OAuth serán cada vez más frecuentes a medida que los empleados dependan más de herramientas basadas en navegador para ser productivos en el trabajo. En el pasado se han utilizado variantes similares de estos ataques para robar datos en la nube de aplicaciones como Google Drive y One Drive, y solo veremos a los atacantes volverse más creativos a la hora de explotar las extensiones de navegador. Las empresas deben permanecer alertas y minimizar el riesgo de su cadena de suministro sin obstaculizar la productividad de los empleados, equipándolos con las herramientas nativas del navegador adecuadas”.

Acerca de SquareX:

Cuadrado X Ayuda a las organizaciones a detectar, mitigar y cazar amenazas de ataques web del lado del cliente que ocurren contra sus usuarios en tiempo real.

La solución de detección y respuesta del navegador (BDR) de SquareX, primera en la industria, adopta un enfoque centrado en ataques para la seguridad del navegador, lo que garantiza que los usuarios empresariales estén protegidos contra amenazas avanzadas como códigos QR maliciosos, phishing en el navegador, malware basado en macros y otros ataques web que abarcan archivos maliciosos, sitios web, scripts y redes comprometidas.

Con SquareX, las empresas pueden brindar a los contratistas y trabajadores remotos acceso seguro a aplicaciones internas y SaaS empresarial, y convertir los navegadores de dispositivos BYOD/no administrados en sesiones de navegación confiables.

Contacto

Jefe de Relaciones Públicas

Junice Liew

Cuadrado X

[email protected]