Extensió falsa de Google Docs fora de línia

L'extensió falsa de Google Docs Offline és un complement maliciós del navegador dissenyat per aparèixer com una eina legítima. Disfressada com un servei de confiança de Google, en realitat forma part d'una campanya de ciberatac més àmplia coneguda com a GlassWorm. Aquesta extensió no la instal·la directament l'usuari; en canvi, s'injecta silenciosament al navegador mitjançant programari maliciós preexistent a través d'un script maliciós. Un cop present, es barreja amb extensions legítimes, cosa que dificulta la detecció.

Infiltració silenciosa mitjançant atacs en cadena

Aquesta amenaça es propaga mitjançant un sofisticat atac en cadena que aprofita plataformes compromeses com ara repositoris de GitHub, paquets npm i magatzems d'extensions de navegador. Els ciberdelinqüents que hi ha darrere de GlassWorm incrusten codi nociu dins de projectes o actualitzacions de programari aparentment legítims, fent que semblin segurs.

Quan els usuaris instal·len o actualitzen programari infectat, el codi ocult s'activa en segon pla i injecta l'extensió falsa al navegador. En alguns casos, el programari maliciós es distribueix a través de mecanismes d'actualització enganyosos que s'assemblen molt als processos oficials, cosa que augmenta encara més la probabilitat d'una infecció reeixida.

Vigilància completa del navegador i recollida de dades

Un cop instal·lada, l'extensió falsa funciona com un troià d'administració remota (RAT), que atorga als atacants un ampli control sobre l'activitat del navegador. És capaç de recopilar una àmplia gamma d'informació sensible, com ara:

• Pulsacions de tecles, incloses les credencials d'inici de sessió i les entrades de formularis
• Galetes i dades de sessió activa de llocs web
• Codi complet de les pestanyes actives del navegador
• Captures de pantalla de pàgines obertes
• Contingut del porta-retalls i marcadors desats
• Historial de navegació (fins a 5000 entrades)
• Detalls del dispositiu i del navegador, incloent-hi dades de maquinari i GPU/WebGL
• Informació sobre les extensions del navegador instal·lades

Totes les dades recollides s'agrupen i es transmeten als ciberdelinqüents, sovint sense cap signe visible per a la víctima.

Greus conseqüències per a la seguretat personal i corporativa

El nivell d'accés que atorga aquesta extensió maliciosa posa en risc una àmplia gamma de dades sensibles. Els correus electrònics privats, els missatges, els documents i altra informació personal poden quedar exposats. L'activitat financera és particularment vulnerable, incloses les sessions de banca en línia, les dades de pagament i els comptes de criptomoneda als quals s'accedeix a través del navegador.

Els atacants poden explotar aquestes dades per segrestar comptes, robar fons, suplantar usuaris i dur a terme altres operacions malicioses. Quan s'instal·la en un dispositiu de treball, l'impacte pot escalar fins a convertir-se en una violació de seguretat corporativa a gran escala, que podria comprometre els sistemes interns i les dades empresarials confidencials.

Abús dels controls de gestió del navegador

A més de les seves capacitats d'espionatge, l'extensió manipula la funció "Gestionat per la teva organització" del navegador. En circumstàncies normals, aquesta configuració indica que un navegador està controlat per un administrador oficial, com ara dins d'un entorn corporatiu.

En fer un ús abusiu d'aquesta funció, el programari maliciós pot restringir el control de l'usuari, impedir els mètodes d'eliminació estàndard i limitar l'accés a la configuració del navegador. Aquesta tàctica ajuda l'extensió maliciosa a mantenir la persistència i a passar desapercebuda durant períodes prolongats.

Una amenaça persistent i d’alt risc

L'extensió falsa de Google Docs Offline representa un risc greu de ciberseguretat a causa de la seva capacitat de disfressar-se, supervisar l'activitat dels usuaris i robar dades altament sensibles. Els seus mètodes d'instal·lació furtius i els seus mecanismes de persistència la fan particularment perillosa.

Si es detecta, l'extensió i qualsevol component maliciós relacionat s'han d'eliminar immediatament per evitar el robatori continu de dades i un possible compromís a llarg termini.