ShadyPanda trasforma popolari estensioni browser con 4,3 milioni di installazioni in spyware
Un attore minaccioso noto come ShadyPanda è stato collegato a una campagna durata sette anni di estensioni browser che ha accumulato oltre 4,3 milioni di installazioni nel tempo.
Cinque di queste estensioni inizialmente erano programmi legittimi, ma da metà 2024 sono state introdotte modifiche dannose, attirando 300.000 installazioni. Queste estensioni sono poi state rimosse.
“Queste estensioni ora eseguono codice remoto ogni ora – scaricando ed eseguendo JavaScript arbitrario con pieno accesso al browser,” ha spiegato il ricercatore di sicurezza Tuval Admoni. “Monitorano ogni visita a siti web, esfiltrano la cronologia di navigazione criptata e raccolgono impronte digitali complete del browser.“
A peggiorare la situazione, una delle estensioni, Clean Master, è stata in passato approvata e verificata da Google. Questo ha permesso agli aggressori di ampliare la base utenti e distribuire aggiornamenti dannosi silenziosi per anni senza destare sospetti.
Un altro gruppo di cinque add-on dello stesso editore è progettato per tenere traccia di ogni URL visitato dagli utenti, oltre a registrare le query fatte sui motori di ricerca e i clic del mouse, inviando le informazioni a server localizzati in Cina. Queste estensioni hanno avuto circa quattro milioni di installazioni, con WeTab da solo che ne conta tre milioni.
I segnali iniziali di attività dannosa sono stati osservati già nel 2023, quando 20 estensioni sul Chrome Web Store e 125 sul Microsoft Edge sono state pubblicate da sviluppatori sotto i nomi “nuggetsno15” e “rocket Zhang.” Tutte si spacciavano per app di sfondi o produttività. Queste estensioni effettuavano frodi affiliate in modo nascosto iniettando codici di tracking durante visite a eBay, Booking.com o Amazon, generando commissioni illecite dagli acquisti degli utenti. Nel 2024 l’attacco è evoluto verso un controllo attivo del browser tramite reindirizzamenti delle ricerche, raccolta delle query e furto di cookie da domini specifici.
“Ogni ricerca web veniva reindirizzata attraverso trovi.com – un noto hijacker di browser,” ha detto Koi Security. “Le query di ricerca venivano registrate, monetizzate e vendute. I risultati delle ricerche manipolati per profitto.“
A metà 2024 cinque estensioni, tre delle quali attive da anni, sono state modificate per distribuire un aggiornamento malevolo con funzionalità di backdoor, che controllava ogni ora il dominio “api.extensionplay[.]com” per scaricare e eseguire un payload JavaScript.
Il payload era progettato per monitorare ogni visita ai siti web e inviare i dati in forma criptata a un server ShadyPanda (“api.cleanmasters[.]store”), insieme a un dettagliato fingerprint del browser. Oltre a un’estesa offuscazione, qualsiasi tentativo di accedere agli strumenti per sviluppatori del browser faceva sì che si comportasse in maniera innocua.
Inoltre, le estensioni possono condurre attacchi di tipo man-in-the-middle per facilitare il furto di credenziali, l’hijacking delle sessioni e l’iniezione arbitraria di codice in qualsiasi sito.
La fase finale dell’attività ha visto cinque altre estensioni, pubblicate intorno al 2023 sul Microsoft Edge Addons hub, incluso WeTab, usare la grande base di installazioni per abilitare una sorveglianza comprensiva, raccogliendo URL, query di ricerca, clic, cookie e impronte del browser.
Sono inoltre dotate di funzionalità per raccogliere informazioni su come la vittima interagisce con una pagina web, come il tempo di visualizzazione e lo scrolling. L’estensione WeTab è ancora disponibile al download al momento della pubblicazione.
Questi risultati mostrano una campagna protrattasi in quattro fasi distinte, trasformando progressivamente le estensioni da strumenti legittimi in spyware per la raccolta dati. Non è chiaro però se gli aggressori avessero gonfiato artificialmente i download per apparire più legittimi.
Si raccomanda agli utenti che hanno installato queste estensioni di rimuoverle immediatamente e di cambiare le proprie credenziali in via precauzionale.
“Il meccanismo di aggiornamento automatico – progettato per la sicurezza degli utenti – è diventato il vettore dell’attacco,” ha concluso Koi. “La catena di aggiornamento considerata affidabile da Chrome e Edge ha consegnato silenziosamente il malware agli utenti. Niente phishing, niente inganni sociali. Solo estensioni fidate che con un semplice aggiornamento si sono trasformate in piattaforme di sorveglianza.“
Il successo di ShadyPanda non è solo dovuto alla sofisticazione tecnica, ma a un sistema che ha sfruttato per sette anni la stessa vulnerabilità: i marketplace controllano le estensioni al momento della pubblicazione, ma non monitorano cosa accade dopo l’approvazione.
Fonte (https://thehackernews.com/2025/12/shadypanda-turns-popular-browser.html)
