Set 20, 2019 Marco Schiaffino Hacking, In evidenza, Malware, News, RSS 0

Bloccavano la pubblicità, ma all’interno del codice era nascosta una funzionalità che permetteva ai pirati informatici di lucrare sugli acquisti degli utenti.

Erano disponibili sul Web Store, ma dopo la segnalazione di un ricercatore di AdGuard le due estensioni malevole per Chrome sono state rimosse da Google.

Si trattava di due ad-blocker, cioè delle estensioni pensate per bloccare gli annunci pubblicitari nel corso della navigazione. AdBlock  e UBlock (i nomi sono gli stessi di due estensioni piuttosto popolari) venivano proposte gratuitamente per il download, ma il loro scopo andava ben al di là di quanto dichiarato nella loro descrizione.

Una volta installate sul browser, le due estensioni bloccano effettivamente le pubblicità. Il loro codice, infatti, è basato su quello di AdBlock, l’estensione legittima che su Web Store risulta essere stata scaricata da più di 10 milioni di utenti.

Come spiegano i ricercatori nel loro report, però, la loro attività non si esaurisce qui. Le due estensioni, infatti, contattano periodicamente un server. Per circa 55 ore, spiegano dalle parti di AdGuard, le comunicazioni sono assolutamente normali.

Dopo questo periodo di tempo, però, le cose cambiano. Il server invia infatti una serie di comandi che vengono eseguiti dall’estensione e che hanno l’obiettivo di portare a termine un attacco che gli esperti chiamano cookie stuffing.

Il trucchetto funziona così: quando l’utente si collega a un particolare sito (nel report viene fatto l’esempio di teamviewer.com) l’estensione scarica e installa sul browser un particolare cookie che viene usato di solito come un sistema di riconoscimento per l’affiliazione a un sito di e-commerce. Si tratta di uno strumento che consente di retribuire chi collabora alla vendita di prodotti online.

In pratica, per rimanere all’esempio citato, se il visitatore fa un acquisto sul sito il proprietario dell’estensione riceve una commissione da parte di TeamViewer come se avesse “favorito” l’acquisto.

Si tratta, in pratica, di una frode che sfrutta la navigazione degli inconsapevoli utenti per spillare denaro illegalmente alle aziende che vendono prodotti e servizi su Internet.

I ricercatori hanno individuato un elenco piuttosto nutrito di siti con cui scatta questo meccanismo e spiegano che si tratta solo di una piccola parte dell’elenco completo.

Le due estensioni, spiegano infine gli analisti, contengono anche delle funzionalità che hanno lo scopo di offuscare l’attività fraudolenta. Se l’estensione rileva che è stata aperta una console per sviluppatori, ad esempio, sospende ogni attività illecita.

Ora Google ha rimosso dal suo Web Store le due estensioni fraudolente. Resta il problema di chi le ha installate nel recente passato.