Nettleserkaprer som utgir seg som fargebytter infiserer millioner

Ondsinnede nettleserutvidelser som skjuler seg bak en slags ufarlig funksjonalitet, for eksempel en fargeskifter, er ikke noe nytt. Sovende farger er imidlertid en historie fra hverandre.

Dormant Colors er navnet på en gruppe useriøse nettleserutvidelser som ble presset aggressivt gjennom en storstilt malvertising-kampanje og endte opp installert i millioner av nettlesere.

Den dvalende fargekonstellasjonen av ondsinnede utvidelser ble oppdaget av forskere med Guardio Security. Rapporten deres beskriver rundt 30 forskjellige nettleserutvidelser som ble distribuert gjennom forskjellige metoder, inkludert å være vert i Chrome- og Edge-tilleggsbutikkene. Den ondsinnede koden ble sidelastet for å unngå oppdagelse så lenge som mulig.

En av hoveddistribusjonsvektorene for Dormant Colors-utvidelser var å bruke villedende sider som tvinger brukeren til å installere utvidelsen for å se det påståtte innholdet på den villedende siden – en annen vanlig taktikk som brukes til å presse mange nettleserkaprere, men bruker vanligvis push-varsler og ikke tvinge en utvidelsesinstallasjon.

Sovende fargeutvidelsene utfører søkekapring og returnerer treff fra sponsede sider, tilknyttet enheten bak kampanjen som presser Sovende farger.

De ondsinnede utvidelsene kan også legge til tilknyttede lenker til URL-ene som brukeren treffer når han besøker svimlende 10 tusen nettsteder - en annen metode for å generere inntekter på ryggen til det intetanende offeret. Når en slik affiliate-URL er lastet inn i nettleseren, vil hvert kjøp gjort av offeret generere tilknyttede bonusbetalinger for de sovende fargeprodusentene.

Det faktum at mange av disse utvidelsene ble lagt igjen i de offisielle butikkene for både Chrome og Edge og samlet en så stor mengde nedlastinger, kaster en skygge for sikkerhetsnivået som tilbys av slike offisielle plattformer, som vanligvis anses som trygge.