Ponto de prova descoberto uma campanha em que hackers usaram uma extensão do Firefox para hackear o Gmail. Os ataques estavam ligados ao grupo chinês TA413.
Segundo os pesquisadores, a campanha esteve ativa de janeiro a fevereiro 2021. Hackers atacaram organizações tibetanas em todo o mundo usando uma extensão maliciosa do Firefox que rouba dados do Gmail e do Firefox e depois baixa malware nos sistemas infectados.
Os pesquisadores dizem que os cibercriminosos atacaram organizações tibetanas com e-mails de phishing direcionados que atraíram as vítimas para sites que as levaram a instalar uma atualização falsa do Flash., supostamente obrigado a visualizar o conteúdo.
Na verdade, esses recursos continham código que dividia os usuários em grupos. Então, apenas usuários do Firefox com uma sessão ativa do Gmail foram convidados a instalar uma extensão maliciosa, enquanto outros hackers não estavam interessados em outros usuários.
A extensão maliciosa foi chamada de componentes de atualização do Flash, mas na verdade era uma variação do notificador legítimo do Gmail (sem reinicialização) extensão, e foi capaz de abusar dos seguintes recursos.
Gmail:
- Pesquisar e-mails
- Arquivar e-mails
- Receba notificações do Gmail
- Ler e-mails
- Alterando a funcionalidade de alerta sonoro e visual no Firefox
- Sinalizar e-mails
- Marcar e-mails como spam
- Apagar mensagens
- Atualizar caixa de entrada
- Encaminhamento de cartas
- Pesquisando no e-mail
- Exclua mensagens da lixeira do Gmail
- Envie e-mails de uma conta comprometida
Raposa de fogo (depende dos direitos concedidos):
- Acesso aos dados do usuário de todos os sites
- Mostrar notificações
- Ler e alterar as configurações de privacidade
- Acesse as guias do navegador
No entanto, o ataque não terminou aí. A extensão também baixou e instalou o malware ScanBox na máquina infectada. É uma antiga ferramenta de malware baseada em PHP e JavaScript que foi usada mais de uma vez em ataques de grupos de hackers chineses.
O último uso registrado do ScanBox remonta a 2019, quando analistas da Recorded Future notaram ataques a visitantes de sites paquistaneses e tibetanos.
Interessantemente, desta vez os falsos ataques Flash funcionaram melhor do que nunca. Embora a maioria dos usuários saiba há muito tempo que deve ficar longe de sites que oferecem atualizações em Flash, o suporte para Flash foi descontinuado no início deste ano. Em janeiro 12, 2021, todo o conteúdo Flash parou de jogar nos navegadores, e parece ser isso que tornou os ataques TA413 muito mais bem-sucedidos do que o normal.
Deixe-me também lembrá-lo de que um versão especial do Flash para a China transformada em adware.
