Rivelati 5 Google Chrome Extensions MALEVOLI che Rubano Cookie ed Impediscono la Risposta agli Incidenti su Workday, Netsuite e SAP SuccessFactors - Prevenire Attacchi alle Piattaforme HR e ERP Enterprise

Analisi Tecnica

Analisi Tecnica: Il Funzionamento dell'Attacco

L'analisi tecnica di questo attacco specifico rivela una sofisticata catena di exploit che si svolge come segue:

• Pubblicazione di Estensioni Malware: I cybercriminali hanno creato ed elencato sul Chrome Web Store cinque diverse estensioni malware, mascherate da strumenti di produttività per utenti che gestiscono più account HR e ERP.
• Estrazione di Cookie: Una volta installate dalle vittime, le estensioni malware iniziano a setacciare i browser web delle vittime per cookie di autenticazione attivi associati alle piattaforme HR e ERP bersaglio. Questi cookie sono quindi inviati ad un server di comando e controllo (C2) ogni 60 secondi.
• Estrazione di Token di Sessione: Oltre all'estrazione dei cookie, le estensioni malware raccolgono anche token di sessione per garantire la persistenza delle credenziali rubate. I token vengono crittografati e caricati sul server C2.
• Prevenzione della Risposta: Le estensioni malware implementano una serie di misure per ostacolare gli sforzi di risposta agli incidenti. Queste tecniche includono la prevenzione del cambio password, il blocco delle azioni amministrative e l'induzione di redirect loop per i tentativi di disabilitazione degli account.

Questa analisi evidenzia la necessità di mettere in atto misure preventive, come l'implementazione di liste allowlist delle estensioni Chrome Enterprise per impedire l'installazione di estensioni non autorizzate. Inoltre, le organizzazioni dovrebbero essere vigili nell'individuare estensioni che prendono di mira le stesse piattaforme enterprise con richieste di permesso simili.

Scenario

Scenario e Contesto: Una Nuova Minaccia per le Piattaforme HR e ERP

La recente scoperta di un insieme di estensioni malware per Google Chrome che prendono di mira le piattaforme HR e ERP, tra cui Workday, Netsuite e SAP SuccessFactors, si inserisce in un contesto più ampio di crescenti attacchi informatici alle aziende.

Secondo il DBIR 2021 di Verizon, nel 2020 oltre l'80% degli incidenti di sicurezza ha interessato le aziende, con un aumento del 10% rispetto all'anno precedente. In particolare, il Global Economic Crime and Fraud Survey 2021 di PwC ha rilevato che le aziende stanno affrontando un numero crescente di attacchi informatici, con il 47% delle organizzazioni intervistate che ha subito almeno una violazione dei dati nell'ultimo anno.

• Aumento degli attacchi: Il numero di attacchi informatici alle aziende è in costante crescita, con il rischio che le organizzazioni sottovalutino la minaccia rappresentata da estensioni malware come quelle identificate da Socket.
• Piattaforme HR e ERP: Le piattaforme HR e ERP sono sempre più oggetto di attenzione da parte degli hacker, in quanto contengono informazioni sensibili su dipendenti e clienti, nonché dati finanziari e di business-critical.
• Trend dei browser: L'utilizzo dei browser come vettore di attacco è in aumento, poiché sempre più aziende adottano soluzioni cloud-based che richiedono l'uso di browser per accedere alle applicazioni e ai dati.

In questo scenario, la scoperta delle estensioni malware per Google Chrome rappresenta un campanello d'allarme per le organizzazioni che utilizzano piattaforme HR e ERP. La capacità degli hacker di mascherare queste estensioni come strumenti legittimi e di bypassare i controlli di sicurezza del Chrome Web Store sottolinea l'importanza per le aziende di adottare misure proattive per proteggere i propri dati e sistemi.

Le raccomandazioni di Socket, come l'implementazione delle allowlist per le estensioni Chrome Enterprise, possono contribuire a ridurre il rischio di compromissione delle account, ma le organizzazioni devono anche considerare l'adozione di altre misure di sicurezza, come la formazione sulla sensibilizzazione alla sicurezza per gli utenti finali e la vigilanza costante sulle attività sospette.

la scoperta delle estensioni malware per Google Chrome dovrebbe servire come monito per le aziende che sottovalutano il rischio di attacchi informatici. Con l'aumento degli attacchi e la crescente sofisticazione dei cybercriminali, è fondamentale per le organizzazioni adottare un approccio olistico alla sicurezza informatica che comprenda la formazione sulla sensibilizzazione alla sicurezza, le best practice di sicurezza e l'implementazione di tecnologie all'avanguardia.

Strategia: e Prevenzione

Guida Strategica e Difesa

La recente scoperta di un gruppo di estensioni malware per Google Chrome che rubano cookie, prendono il controllo degli account e bloccano attivamente le risposte agli incidenti rivela l'importanza della sicurezza informatica all'interno delle aziende.

Come utente o amministratore IT, ci sono diverse azioni che puoi intraprendere per proteggerti da questo tipo di minacce:

Implementa Allowlisting delle Estensioni Chrome Enterprise

Una misura preventiva efficace è l'implementazione dell'allowlisting delle estensioni Chrome Enterprise, che impedisce l'installazione di estensioni non autorizzate all'interno della tua organizzazione.

Monitora le Estensioni che Targettizzano Piattaforme Enterprise Simili

Monitorare attentamente l'insorgenza di estensioni che prendono di mira le stesse piattaforme enterprise con richieste di permesso simili può aiutarti a identificare e bloccare tempestivamente eventuali minacce.

Educazione alla Sicurezza

L'educazione alla sicurezza informatica è fondamentale per i tuoi dipendenti. Assicurati che tutti gli utenti siano consapevoli dei rischi associati alle estensioni di terze parti e incoraggiali a installare solo quelle strettamente necessarie.

Implementa Politiche di Cambio Password Periodico

Impostare politiche di cambio password periodico può aiutare a ridurre il rischio che le credenziali rubate rimangano valide per lunghi periodi.

Rimuovi Estensioni non Sicure

Se hai precedentemente installato qualsiasi delle estensioni malevole menzionate nell'articolo, assicurati di rimuoverle immediatamente dai tuoi browser.

Segnala Attività Sospette

Se noti qualsiasi attività sospetta nei tuoi account HR o ERP, segnalala tempestivamente al team di sicurezza informatica della tua organizzazione.

Ricorda che la sicurezza è una responsabilità condivisa. Adottando queste misure preventive e reattive, puoi contribuire a proteggere te stesso e la tua organizzazione da minacce informatiche in continua evoluzione.

Considerazioni Finali

Conclusioni e Riflessioni Editoriali

Le minacce informatiche sono sempre più sofisticate e mirate, come dimostra il recente caso di un set di malware nascosto in estensioni Google Chrome. Queste estensioni, che si spacciavano per strumenti produttivi, hanno preso di mira le piattaforme HR e ERP ampiamente utilizzate, tra cui Workday, Netsuite e SAP SuccessFactors. Sebbene il team di ricerca sulla sicurezza delle applicazioni presso Socket abbia individuato e segnalato tali minacce, con conseguente rimozione dalle estensioni del Chrome Web Store, il danno era già stato fatto: oltre 2300 utenti le avevano già scaricate.

• Sfruttare la fiducia: I cybercriminali sono diventati sempre più abili nell'ingannare gli utenti sfruttando la loro fiducia. In questo caso, le estensioni dannose erano progettate per sembrare strumenti legittimi e professionali. Questo serve come promemoria importante per tutti noi di essere critici e scettici quando autorizziamo l'accesso ad applicazioni o estensioni, anche se sembrano autentiche.
• La necessità di contromisure proattive: Il panorama delle minacce è in continua evoluzione e le organizzazioni devono adottare misure preventive più proattive per proteggersi. In questo caso, implementare liste di controllo delle estensioni Chrome Enterprise avrebbe potuto impedire l'installazione di estensioni non autorizzate. Monitorare attivamente le estensioni che prendono di mira piattaforme simili con richieste di permesso simili è un altro passo importante per mitigare il rischio.
• L'importanza della collaborazione: È fondamentale che le organizzazioni, i ricercatori e i fornitori di piattaforme lavorino insieme per combattere queste minacce. La rapida risposta del team di ricerca sulla sicurezza delle applicazioni presso Socket e la conseguente azione da parte di Google dimostrano il potere della collaborazione in questo settore.

Nel complesso, l'incidente evidenzia che le minacce informatiche diventano sempre più sofisticate e mirate. È fondamentale che gli individui e le organizzazioni rimangano vigili, adottino misure preventive proattive e colmino il divario di collaborazione tra i diversi attori del settore per far fronte a queste minacce in continua evoluzione.