Pesquisadores de cibersegurança divulgaram detalhes de um complexo kit pós-exploração baseado em Chromium, chamado PEEP, que se disfarça como uma extensão de favoritos para navegador.
“Exigindo acesso administrativo prévio ou execução de código, seu instalador injeta a extensão diretamente nos perfis do Chrome e do Edge, contornando as verificações da Web Store e os alertas ao usuário ao forjar os valores de integridade Secure Preferences do próprio Chromium”, afirmou a SOCRadar. “Uma ferramenta de mensagens nativas amplia esse alcance, indo além da telemetria do navegador para execução de comandos no sistema e gerenciamento de arquivos.”
Depois de instalado, o agente da “extensão” PEEP consulta seu servidor de comando e controle (C2), em “206.237.30[.]232” ou “xfjcc[.]fun”, a cada 30 segundos via HTTP em texto simples, em busca de novos comandos, enquanto exfiltra histórico de navegação, metadados da aba ativa e cookies de sessão. O conjunto também funciona como uma ferramenta de acesso remoto e monitoramento do navegador, capaz de executar comandos no sistema, roubar credenciais, sequestrar sessões e alterar páginas da web.
O PEEP foi construído sobre as bases do RedExt, um framework open source para análise de dados de navegador e red team, que também já havia sido usado em ataques anteriores do GlassWorm. No entanto, o kit foi ampliado com rotinas dedicadas de instalação, uma ponte nativa com o host, telemetria de heartbeat, um canal de atualização e um conjunto mais amplo de comandos. Na prática, isso torna o PEEP um derivado do RedExt.
O PEEP é descrito como um framework de pós-comprometimento porque não possui um vetor de acesso inicial próprio. Isso significa que o operador precisa invadir uma máquina por outro meio e então implantar o malware. A atividade continua sem atribuição, embora a presença de artefatos em chinês no código-fonte aponte para um threat actor que fala mandarim.
A extensão se apresenta como “Smart Bookmarks” (ID: ejkndncpkdcjcikfhiamcdehdoegilbj). Ela é o principal agente responsável por executar o ciclo de beaconing, consultando “/api/commands”, coletando dados do navegador, recebendo novas tarefas e enviando os resultados de volta.
O complemento do navegador também aciona um executável auxiliar, “nm_host.exe”, quando a tarefa exige acesso ao sistema operacional, enquanto comandos baseados no navegador, como captura de tela, acesso à área de transferência ou injeção de JavaScript, são executados localmente. O uso do binário Native Messaging Host transforma o malware de um simples ladrão de credenciais em uma ferramenta de acesso remoto.
“Operando no contexto do usuário, a extensão extrai artefatos do navegador e usa com.peep.lab/nm_host.exe para executar comandos de shell, gerenciar arquivos e descobrir processos e serviços”, disse a SOCRadar. “Ao contornar as verificações da Web Store, o PEEP mantém persistência por meio de sideloading, políticas corporativas de instalação forçada, manipulação da integridade de preferências e um fallback via ScriptCache.”
A extensão também usa outros endpoints, entre eles:
“/api/register” para registrar a infecção
“/api/agents/<id>/heartbeat” para enviar detalhes sobre o User-Agent do navegador, o sistema operacional e o fuso horário
“/api/extension_update/” e “/api/extension_crx/” para atualizar a própria extensão
“/api/agents/<id>/task_result” para publicar os resultados da execução dos comandos
“/api/exfil” para enviar dados coletados automaticamente, como cookies, histórico recente, abas abertas, URL ativa, endereço IP público, localidade e fuso horário
“/health” para exibir o status interno do sistema sem exigir credenciais de login
“/login” para exibir uma interface de login do painel C2 na porta 5001
Outro aspecto central do PEEP é a capacidade de modificar o arquivo Secure Preferences para garantir que a extensão seja ativada automaticamente ao iniciar o navegador. Como a extensão não está disponível na Chrome Web Store nem em outras lojas oficiais, ela também explora as políticas ExtensionInstallForcelist ou ExtensionSettings e truques de sideloading para distribuição.
Para ajudar nessa adulteração, o malware usa dois scripts PowerShell:
install_silent.ps1, que ativa o modo de desenvolvedor para permitir sideloading de extensões arbitrárias
patch_secure_prefs.ps1, que corrige o arquivo Secure Preferences
force_enable.ps1, que remove a extensão de external_uninstalls das Preferences, coloca o CRX em %LOCALAPPDATA%PEEPcrx, faz o novo registro por meio da chave HKCU Extensions e de um manifesto JSON de External Extensions e reinicia o navegador
Também existe um script em Python, “patch_secure_prefs_linux.py”, indicando que o threat actor por trás da operação está replicando o comportamento para atingir também ambientes Linux.
Uma vez inicializada, a extensão analisa um arquivo de configuração para extrair informações de C2 e ativar a coleta automatizada de dados, enquanto um script de conteúdo complementar, “content.js”, é injetado em todas as páginas da web ativas.
A SOCRadar informou ter identificado várias referências ao uso “Authorized CTF”, o que levanta a possibilidade de que o threat actor tenha usado essa justificativa para reduzir as barreiras de segurança de ferramentas de IA e auxiliar no desenvolvimento de malware. Até o momento, não há sinais claros de quem está sendo alvo, mas o endpoint “/health” mostra 34 entradas de agentes, 10 sessões ativas e 507 registros de dados. Ainda assim, não é possível diferenciar hosts realmente infectados de entradas de teste ou de implantações verificadas.
“O PEEP se apoia em compromissos já existentes no host, usando uma ponte de mensagens nativas para transformar Chrome e Edge em um backdoor persistente que atravessa o sandbox do navegador para alcançar o sistema operacional”, disse a SOCRadar. “Como sua lógica roda dentro do processo assinado do navegador, ele passa despercebido por verificações de chaves em binários novos ou não assinados. Como resultado, o navegador atua como um ponto de pivot em endpoint para roubo de credenciais, abuso de sessões e execução de comandos.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...