Ghostposter

Pesquisadores da LayerX identificaram 17 novas extensões maliciosas para os navegadores Chrome, Firefox e Edge, que fazem parte da campanha GhostPoster. Essas extensões, que já somam mais de 840.000 downloads, têm como objetivo monitorar a atividade dos usuários e instalar backdoors, permitindo acesso contínuo aos computadores das vítimas. A maioria das extensões foi lançada em 2020 e, em alguns casos, o código malicioso estava oculto na logo PNG do add-on, facilitando a instalação de um payload malicioso a partir de um servidor remoto. Os atacantes implementaram uma estratégia de evasão, baixando o malware apenas 10% das vezes, o que dificulta a detecção. Entre as funcionalidades do malware, destaca-se o roubo de links de afiliados em sites de e-commerce e a injeção de monitoramento do Google Analytics em páginas visitadas. Embora as extensões tenham sido removidas das lojas oficiais, usuários ainda devem verificar se têm alguma delas instalada e removê-las imediatamente, além de limpar o cache do navegador.

Um novo conjunto de 17 extensões maliciosas associadas à campanha GhostPoster foi identificado nas lojas do Chrome, Firefox e Edge, totalizando 840.000 instalações. A campanha, inicialmente relatada em dezembro pela Koi Security, utiliza código JavaScript malicioso oculto em imagens de logotipos para monitorar a atividade do navegador e implantar uma porta dos fundos. O código busca um payload ofuscado de um recurso externo, que rastreia a navegação da vítima, sequestra links de afiliados em plataformas de e-commerce e injeta iframes invisíveis para fraudes publicitárias. Um relatório da LayerX revela que a campanha continua ativa, com algumas extensões presentes desde 2020, indicando uma operação de longo prazo. A extensão ‘Instagram Downloader’ apresenta uma variante mais avançada, movendo a lógica maliciosa para o script de fundo e utilizando um arquivo de imagem como contêiner de payload. Embora as extensões tenham sido removidas das lojas da Mozilla e Microsoft, usuários que as instalaram ainda podem estar em risco. O Google confirmou a remoção das extensões da Chrome Web Store, mas a ameaça persiste para aqueles que as mantêm em seus navegadores.