Chrome-extensie beveiligingsbedrijf gehackt om data te stelen
De aanval vond plaats op 24 december, zo meldt het bedrijf in een persbericht. Cyberhaven vermoedt op basis van externe bronnen dat de aanval op zijn extensie “deel uitmaakte van een bredere campagne om ontwikkelaars van Chrome-extensies bij een groot aantal bedrijven aan te vallen.” Bij de aanval wisten hackers via een Cyberhaven-medewerker toegang te krijgen tot de Chrome Web Store. Daar konden zij vervolgens een malafide extensie-update uitrollen – specifiek versie 24.10.4, die van malware was voorzien.
De malware was ontworpen om sessietokens en andere cookies te stelen. Met zulke sessietokens kunnen hackers inloggen bij onlinediensten van de getroffen bedrijven, zonder dat er nog een wachtwoord of 2FA-code nodig is. Zo’n token wordt immers op een computer opgeslagen om ervoor te zorgen dat gebruikers niet continu hoeven in te loggen bij websites. Aan zulke tokens zit echter ook een keerzijde.
Update je Cyberhaven-extensie
Volgens Howard Ting, CEO van Cyberhaven, kregen hackers slechts kortstondig toegang tot de Chrome Web Store. Zestig minuten nadat de malafide extensie was uitgerold, werd de update al stopgezet. De malafide code van de extensie bleef actief tot 26 december om 02:50 uur (UTC). Getroffen klanten – waaronder bedrijven als Canon, Motorola en Reddit – werden op 26 december geïnformeerd over de gevaarlijke extensie-update.
Op dezelfde dag publiceerde Cyberhaven een ‘schone’ versie van zijn Chrome-extensie, met versienummer 24.10.5. Deze versie verwijdert de malware uit Chrome, mits die op de pc was geïnstalleerd. Niet alle klanten zullen de malafide extensie hebben gedownload. Dit gebeurde namelijk alleen als de auto-updatefunctie was ingeschakeld. Stond die functie uit ten tijde van de aanval, dan hoeft er geen actie te worden ondernomen.
Werd de update wél automatisch geïnstalleerd, dan raadt Cyberhaven zijn klanten aan om de nieuwe extensieversie te installeren, alle wachtwoorden in te trekken of te roteren (tenzij deze aan de FIDOv2-specificatie voldoen) en beveiligingslogs goed in de gaten te houden.
Meer Chrome-hackaanvallen
Beveiligingsonderzoeker Jaime Blasco ontdekte, zoals Cyberhaven al meldde, dat er meer Chrome-extensies zijn aangevallen. Naast Cyberhaven werden ook de volgende Chrome-extensies getroffen: Internxt VPN, VPNCity, Uvoice en ParrotTalks. Blasco vermoedt bovendien dat er nog meer Chrome-extensies zijn getroffen. Dit vermoeden wordt bevestigd door John Tuckner, die nog eens veertien malafide extensie-updates identificeerde. Deze extensies worden gebruikt door bijna 380.000 Chrome-gebruikers.
Met deze aanvallen in het achterhoofd kan het verstandig zijn om automatische updates voor Google Chrome-extensies uit te schakelen. Malafide updates worden dan niet zomaar geïnstalleerd. Ook voor niet-zakelijk gebruik is dit aan te raden: hackers proberen vaak geld te verdienen met hun aanvallen, ongeacht de bron, en richten zich ook op bankgegevens en andere gevoelige persoonsgegevens.
