Hacker "rubano" estensioni di Chrome e colpiscono 1 milione di utenti

Hacker “rubano” estensioni di Chrome e colpiscono 1 milione di utenti

Ago 03, 2017 Marco Schiaffino Attacchi, Hacking, In evidenza, News, Phishing, RSS 0

I pirati hanno hackerato gli account degli sviluppatori e hanno rilasciato un aggiornamento che conteneva un JavaScript malevolo.

Colpirne uno per infettarne… un milione! È successo in questi giorni, quando un gruppo di hacker è riuscito a mettere le mani sull’account Google di Chris Pederick attraverso (come riporta lo stesso Chris) una banale email di spear phishing.

Il problema è che Pederick non è un qualsiasi utente Google, ma l’autore di una popolare estensione per Chrome chiamata Web Developer. Utilizzando le sue credenziali, i pirati hanno messo online una versione “aggiornata” dell’estensione (0.4.9) inserendo al suo interno un JavaScript malevolo.

Un brutto colpo, visto che l’estensione in questione è utilizzata da 1 milione di persone. Si tratta di una toolbar che mette a disposizione strumenti per lo sviluppo Web. Per fortuna, per lo meno a una prima analisi, il componente inserito dai cyber-criminali si limitava a visualizzare pubblicità indesiderate sul browser delle vittime.

Pederick si è accorto immediatamente del problema e ha reagito con un’ottima tempestività: ha dapprima disattivato Web Developer e ha poi caricato un aggiornamento “pulito” alla versione 5.0.

Pederick, però, non è stato l’unica vittima del gruppo di cyber-criminali. La stessa sorte è toccata anche a un gruppo di sviluppatori chiamato A9T9. In questo caso l’obiettivo era un’estensione di riconoscimento dei caratteri chiamata Copyfish, che è stata manomessa con modalità simili.

In un post sul loro blog gli sviluppatori ricostruiscono quello che è successo e hanno pubblicato anche un’immagine dell’email di phishing che ha innescato il tutto. Si tratta di un eccellente esempio di ingegneria sociale che fa leva, tanto per cambiare, sul fattore paura.

L’email ricevuta da uno degli sviluppatori era confezionata in modo da sembrare che provenisse da Google. L’oggetto è di quelli che può scatenare il panico “Chrome Web Store: Notifica di rimozione di Copyfish Free OCR Software”.

Nel testo del messaggio viene spiegato che l’estensione rischia di essere rimossa dallo Store perché non “soddisfa le policy di Google”. Viene poi fornito un link per l’accesso alla dashboard che permetterebbe di risolvere il problema.

Il collegamento (una short-url di Bitly) conduceva a FreshDesk, una piattaforma per la gestione del servizio clienti usato anche da grandi aziende come Cisco e Sony, ma che offre la possibilità di avviare un periodo di prova gratuito a chiunque.

Insomma: gli indizi per capire che ci fosse qualcosa di sbagliato in quell’email c’erano tutti, ma il fattore paura (scatenato dal rischio che l’estensione fosse ritirata dallo Store di Chrome) ha evidentemente giocato la sua parte.

Ora A9T9 si trova ad affrontare le conseguenze dell’attacco. Oltre alle proteste degli utenti, infatti, hanno subito la (prevedibile) reazione di Google, che dopo aver sistemato le cose in un primo momento, ieri avrebbe sospeso il loro account di sviluppatori.

Condividi l'articolo