Browserkaper die zich voordoet als Color Swapper infecteert miljoenen

Schadelijke browserextensies die zich verschuilen achter een soort onschadelijke functionaliteit, zoals een kleurwisselaar, zijn niets nieuws. Slapende kleuren is echter een verhaal apart.

Dormant Colors is de naam van een groep frauduleuze browserextensies die agressief door een grootschalige malvertisingcampagne werden gepusht en uiteindelijk in miljoenen browsers werden geïnstalleerd.

De slapende kleuren-constellatie van kwaadaardige extensies is ontdekt door onderzoekers van Guardio Security. Hun rapport beschrijft ongeveer 30 verschillende browserextensies die via verschillende methoden zijn verspreid, waaronder gehost in de Chrome- en Edge-add-on-stores. De kwaadaardige code werd aan de zijkant geladen om detectie zo lang mogelijk te voorkomen.

Een van de belangrijkste verspreidingsvectoren voor extensies voor slapende kleuren was het gebruik van misleidende pagina's die de gebruiker dwingen de extensie te installeren om de vermeende inhoud op de misleidende pagina te zien - een andere veelgebruikte tactiek die wordt gebruikt om veel browserkapers te pushen, maar meestal met behulp van pushmeldingen en een extensie-installatie niet forceren.

De Dormant Color-extensies voeren zoekkapingen uit en retourneren overeenkomsten van gesponsorde pagina's, gelieerd aan de entiteit achter de campagne die Dormant Colors pusht.

De kwaadaardige extensies kunnen ook gelieerde links toevoegen aan de URL's die de gebruiker bezoekt bij het bezoeken van maar liefst 10 duizend sites - een andere methode om inkomsten te genereren op de rug van het nietsvermoedende slachtoffer. Zodra een dergelijke partner-URL in de browser is geladen, genereert elke aankoop door het slachtoffer partnerbonusbetalingen voor de makers van slapende kleuren.

Het feit dat veel van die extensies in de officiële winkels voor zowel Chrome als Edge zijn achtergelaten en zo'n enorme hoeveelheid downloads hebben verzameld, werpt een schaduw op het beveiligingsniveau dat wordt geboden door dergelijke officiële platforms, die meestal als veilig worden beschouwd.