GhostChrome-X закрепляется в Chrome и перехватывает данные веб-форм

GhostChrome-X, семейство вредоносного ПО, скомпилированное с помощью Nim, использует Chrome как рабочую платформу и средство закрепления. Оно устанавливает вредоносное расширение, которое перехватывает данные веб-форм и взаимодействует с сервером управления через WebSocket.

Установка расширения и обход проверки целостности Chrome

Первоначальный вектор заражения неизвестен. Имена файлов, например Authenticator.exe и chrome_updater.exe, указывают на возможную доставку через фишинг, вредоносные загрузки или поддельные обновления программного обеспечения. При запуске вредоносное ПО использует скрипт PowerShell svc_update.ps1, который разворачивает расширение и вспомогательные компоненты.

Скрипт напрямую изменяет файлы Preferences и Secure Preferences в профиле Chrome, обходя механизмы защиты целостности расширений. Он извлекает из resources.pak специфичный для машины ключ Chrome, вычисляет идентификатор расширения, регистрирует подконтрольное злоумышленнику расширение и включает режим разработчика. Для изменённых настроек скрипт генерирует поддельные значения HMAC и пересчитывает super_mac. После этого изменённая конфигурация проходит проверку целостности при запуске браузера без стандартной установки расширения.

Расширение помещается в каталог расширений профиля Chrome и содержит файлы background.js, content.js и manifest.json. Оно запрашивает разрешения высокого риска, в том числе доступ к cookie, истории просмотров, вкладкам, содержимому буфера обмена, скриптам, нативным сообщениям и сетевым элементам управления браузером.

Связь с сервером и сбор данных

Фоновый сервисный процесс расширения (background service worker) поддерживает соединение WebSocket с wss://authenticators.duckdns.org/ws и использует жёстко заданный токен аутентификации. Расширение получает команды, в том числе shell_command и ls_command, и передаёт их локальному HTTP-сервису по адресу 127.0.0.1:18923 для выполнения в операционной системе.

GhostChrome-X также регистрирует хост нативного обмена сообщениями Chrome через реестр текущего пользователя. Если локальный HTTP-сервис недоступен, расширение может использовать зарегистрированный хост com.google.authenticator и файл host.cmd как альтернативный канал выполнения команд.

Скрипт content.js внедряется во все посещаемые сайты и перехватывает данные отправляемых HTML-форм, включая значения полей и URL. Вредоносное ПО также отслеживает аутентификационную активность в браузере, включая взаимодействия WebAuthn, и может поддерживать действия, контролируемые злоумышленником, в рамках сессии браузера жертвы.

Закрепление и восстановление

Для закрепления и восстановления GhostChrome-X использует скрипты PowerShell, запланированную задачу ProgramDataUpdater, механизмы на основе реестра и службу мониторинга (watchdog). Скрипт svc_integrity.ps1 многократно переустанавливает расширение, перезаписывает конфигурацию Chrome и метаданные целостности, а при необходимости запускает локальную службу команд. Благодаря этим механизмам GhostChrome-X восстанавливает присутствие в браузере после удаления расширения или изменения конфигурации.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.