Çevrimiçi hesapları, günlük tuş vuruşlarını, reklamları ve kötü amaçlı JS kodunu enjekte etmek ve DDOS saldırılarında kurbanın tarayıcıyı kaydetmek için kötü niyetli uzantılar kullanarak vahşi doğada 'Cloud9' adlı yeni bir Chrome tarayıcısı keşfedildi.
Kötü niyetli krom uzantısı resmi Chrome Web mağazasında mevcut değildir, ancak sahte Adobe Flash Player güncellemelerini iten web siteleri gibi alternatif kanallarla dolaşır.
Bu yöntem, Zimperium'daki araştırmacıların bugün dünyanın dört bir yanındaki sistemlerde Cloud9 enfeksiyonlarını gördüğünü bildirdiği gibi iyi çalışıyor gibi görünüyor.
Cloud9, kötü amaçlı işlevlerin ve yeteneklerin kapsamlı bir listesini gerçekleştirmek için krom tarayıcılarını geri alan kötü amaçlı bir tarayıcı uzantısıdır.
Uzatma, sistem bilgilerini toplamak, ana bilgisayar kaynaklarını kullanarak kripto para madenciliği, DDOS saldırıları gerçekleştirmek ve tarayıcı istismarlarını çalıştıran komut dosyaları enjekte etmek için üç JavaScript dosyasından oluşur.
Zimperium, Firefox, CVE-2014-6332 ve CVE-2016-0189'da CVE-2019-11708 ve CVE-2019-9810 güvenlik açıkları ve CVE-2016-0189'da istismarların yüklenmesini fark etti ve Edge için CVE-2016-0189.
Bu güvenlik açıkları, Windows kötü amaçlı yazılımları otomatik olarak yüklemek ve yürütmek için kullanılır ve saldırganların daha da önemli sistem uzlaşmaları yapmasını sağlar.
Ancak, Windows kötü amaçlı yazılım bileşeni olmasa bile, Cloud9 uzantısı, tehdit aktörlerinin geçerli kullanıcı oturumlarını ele geçirmek ve hesapları devralmak için kullanabileceği tehlikeye atılmış tarayıcıdan çerezler çalabilir.
Ayrıca, kötü amaçlı yazılım, şifreleri ve diğer hassas bilgileri çalmak için anahtar presler için gözetleyebilen bir keylogger içerir.
Uzatmada bir "Clipper" modülü de bulunur ve kopyalanan parolalar veya kredi kartları için sistem panosunun sürekli olarak izlenmesi.
Cloud9 ayrıca reklam izlenimleri oluşturmak için web sayfalarını sessizce yükleyerek reklamlar ve dolayısıyla operatörleri için gelir enjekte edebilir.
Son olarak, kötü amaçlı yazılım, HTTP posta istekleri aracılığıyla hedef etki alanına katman 7 DDOS saldırıları gerçekleştirmek için ana bilgisayarın ateş gücünü kaydedebilir.
Zimperium, "Katman 7 saldırılarının tespit edilmesi genellikle çok zor çünkü TCP bağlantısı meşru isteklere çok benziyor."
"Geliştirici muhtemelen bu botnet'i DDO'lar yapmak için bir hizmet sunmak için kullanıyor."
Cloud9'un arkasındaki bilgisayar korsanlarının Keksec kötü amaçlı yazılım grubuyla bağları olduğuna inanılıyor, çünkü son kampanyada kullanılan C2 alanları Keksec'in geçmiş saldırılarında görüldü.
Keksec, EnemyBot, Tsunamy, Gafgyt, DarkHTTP, Darkirc ve Necro dahil olmak üzere birden fazla botnet projesi geliştirmek ve yürütmekten sorumludur.
Cloud9'un kurbanları dünya çapında yayılıyor ve tehdit oyuncusu tarafından forumlarda yayınlanan ekran görüntüleri çeşitli tarayıcıları hedeflediklerini gösteriyor.
Ayrıca, Cloud9'un siber suç forumlarında halka açık tanıtımı, Zimperium'un Keksec'in muhtemelen diğer operatörlere sattığına/kiraladığına inanmaya yönlendiriyor.
GÜNCELLEME 11/9 -Bir Google sözcüsü, BleepingComputer'a aşağıdaki yorumu sağlamıştır:
Her zaman en güncel güvenlik korumalarına sahip olduklarından emin olmak için Google Chrome'un en son sürümüne güncellemelerini öneririz.
Kullanıcılar ayrıca Chrome'daki gizlilik ve güvenlik ayarlarında gelişmiş koruma sağlayarak kötü niyetli yürütülebilir ürünlerden ve web sitelerinden daha iyi korunabilir.
Gelişmiş koruma, potansiyel olarak riskli siteler ve indirmeler hakkında sizi otomatik olarak uyarır ve indirmelerinizin güvenliğini denetler ve bir dosyanın tehlikeli olabileceği zaman sizi uyarır.
Fodcha DDOS Botnet iktidarda 1 Tbps'ye ulaşır, paketlerde fidye enjekte eder
Yeni Kaos Kötü Yazılım Windows, DDOS saldırıları için Linux Cihazları Enfekte
Romcom Rat Kötü Yazılım Kampanyası, Keepass, Solarwinds NPM, Veeam taklit ediyor
Yeni Android kötü amaçlı yazılım 'Ratmilad' verilerinizi çalabilir, ses kaydedebilir
Imperva, uzun ömürlü, 25,3 milyar isteği DDOS saldırısı hafifletti
Kaynak: Bleeping Computer