CiberWiki

Operación Hidden Plugin

Revisión del 21:43 17 ene 2026 de Fernando.VH (discusión | contribs.)
(difs.) ← Revisión anterior | Revisión actual (difs.) | Revisión siguiente → (difs.)

1. Nombres Alternativos / Aliases

  • GhostPoster Browser Malware Campaign (referencia al nombre clave del malware)
  • LiveUpdate Malware Campaign (referencia al dominio C2 principal)
  • Extensiones Maliciosas de Navegador de 5 Años

2. Fecha de Detección / Actividad

  • Inicio estimado de la campaña: Aproximadamente 2021 (basado en extensiones activas por hasta 5 años).
  • Primer análisis público (Koi Security): Diciembre 2025.
  • Investigación ampliada (LayerX): Enero 2026.
  • Vigencia actual: Extensión de la infraestructura activa; las extensiones removidas de las tiendas permanecen instaladas en usuarios finales.

3. Actor de Amenaza (Atribución)

  • Atribución: Desconocida. No atribuida públicamente a un grupo o nación-estado específico. Las TTPs apuntan a un operador cibercriminal con motivación financiera.
  • Motivación: Financiera, a través de fraudes de afiliados comerciales, inyección de publicidad no deseada (adware) y posible robo de datos de navegación.
  • Nivel de Sofisticación: Medio-Alto. Demuestra una comprensión profunda de los mecanismos de seguridad de los navegadores, paciencia operacional (largos períodos de latencia) y el uso de técnicas de evasión avanzadas y estratificadas.

4. Resumen Ejecutivo

Operación Hidden Plugin es una campaña de malware de larga duración y gran escala que ha comprometido a más de 840,000 usuarios mediante la distribución de extensiones maliciosas para los navegadores Google Chrome, Mozilla Firefox y Microsoft Edge. La campaña se caracteriza por un sofisticado mecanismo de entrega que utiliza esteganografía, ocultando el código malicioso inicial dentro de archivos de imagen PNG legítimos de las extensiones para evadir los análisis de seguridad estáticos de las tiendas oficiales. Una vez instaladas, estas extensiones (que se hacían pasar por VPNs gratuitas, traductores o bloqueadores de anuncios) descargaban un payload final desde servidores de comando y control (C2). Este payload ejecutaba un conjunto de actividades maliciosas diseñadas para la monetización fraudulenta, incluyendo el secuestro de enlaces de programas de afiliados, la inyección de scripts de rastreo, la desactivación de protecciones de seguridad del navegador y la ejecución de código remoto, todo mientras empleaba múltiples capas de evasión para permanecer sin ser detectada durante años.

5. Vectores de Ataque

  • Extensiones de Navegador Maliciosas: El vector principal. Los atacantes publicaron extensiones aparentemente benignas (e.g., "Free VPN Forever", "Google Translate Pro") en las tiendas oficiales de Chrome Web Store, Firefox Add-ons y Microsoft Edge Add-ons.
  • Ingeniería Social/Confianza del Usuario: Los usuarios instalaban voluntariamente las extensiones atraídos por sus funcionalidades prometidas (privacidad, utilidad), confiando en el canal de distribución oficial.
  • Compromiso de la Cadena de Suministro de Software (Indirecto): La campaña explotó la confianza inherente en los repositorios oficiales de extensiones y en las prácticas de revisión de las tiendas, infiltrando código malicioso que pasó los controles.

6. Técnicas, Tácticas y Procedimientos (TTPs)

Táctica Técnica ID Descripción Aplicada
Defense Evasion Obfuscated Files or Information T1027 Payload ofuscado mediante esteganografía en archivos PNG y codificación personalizada (intercambio de mayúsculas/minúsculas, Base64).
Defense Evasion Deobfuscate/Decode Files or Information T1140 La extensión contiene un "loader" que decodifica el payload oculto en el PNG y el recibido del C2.
Persistence Browser Extensions T1176 El malware se instala como una extensión de navegador con permisos amplios, garantizando ejecución automática.
Execution Command and Scripting Interpreter: JavaScript T1059.007 Todo el malware está escrito en JavaScript y se ejecuta dentro del contexto del navegador.
Exfiltration Exfiltration Over C2 Channel T1041 Los datos robados (información de navegación, identificadores) se envían a los servidores C2.
Impact Financial Theft T1657 Secuestro de enlaces de afiliados (e.g., en Taobao, JD.com) para desviar comisiones a los atacantes.

7. Flujo de Ataque (Kill Chain)

  1. Reconocimiento: Investigación de tipos de extensiones populares y con alta demanda (VPN, traductores, bloqueadores) para emular.
  2. Armamento: Desarrollo de extensiones funcionales básicas con código malicioso ofuscado e incrustado mediante esteganografía en archivos de recursos (logo.png).
  3. Entrega: Publicación de las extensiones en las tiendas oficiales de Chrome, Firefox y Edge. Los usuarios las descargan e instalan manualmente.
  4. Explotación: La extensión se ejecuta con los permisos concedidos por el usuario. No se explota una vulnerabilidad de software, sino la confianza del usuario.
  5. Instalación: El "loader" extrae y decodifica la primera etapa del malware desde la imagen. Este se conecta al C2 para descargar, decodificar e instalar el payload final en el almacenamiento del navegador.
  6. Comando y Control (C2): Comunicación periódica y aleatoria con los dominios liveupdt[.]com y dealctr[.]com para recibir instrucciones, payloads actualizados y exfiltrar datos.
  7. Acciones en el Objetivo: Ejecución de las capacidades maliciosas: redirección de afiliados, inyección de trackers, eliminación de cabeceras de seguridad, inyección de iframes ocultos.

8. Infraestructura Utilizada (IOCs)

  • Dominios C2: www.liveupdt[.]com, www.dealctr[.]com, mitarchive[.]info.
  • Dominio de Soporte: refeuficn.github.io (para servicios de bypass de CAPTCHA).
  • Servidores de Redirección: Utilizados para el fraude de afiliados (no especificados en el reporte).
  • ID de Rastreo: Google Analytics UA-60144933-8 (fraudulento, usado por el malware).

9. Objetivos y Sectores Atacados

  • Objetivos Primarios: Usuarios finales de navegadores web en general, con un enfoque secundario en compradores en línea.
  • Sector Más Afectado: Comercio Electrónico. El mecanismo de secuestro de afiliados estaba específicamente diseñado para plataformas como Taobao y JD.com, desviando ingresos de mercaderes y afiliados legítimos.
  • Criterio de Selección: No es dirigido. Cualquier usuario que instalara una de las extensiones comprometidas era infectado. La monetización se optimizaba para actividad en sitios de comercio electrónico.

10. Impacto y Riesgo

  • Impacto Técnico: Compromiso total de la sesión y seguridad del navegador. Pérdida de confidencialidad e integridad de toda la actividad web. Exposición a amenazas secundarias debido a la eliminación de protecciones (CSP).
  • Impacto Financiero: Pérdidas directas para comerciantes y afiliados legítimos debido al fraude de comisiones. Potencial pérdida de productividad y costos de remediación para usuarios corporativos.
  • Impacto Reputacional: Erosión de la confianza en las tiendas oficiales de extensiones y en los proveedores de navegadores.
  • Nivel de Riesgo: ALTO. La escala (840k+ instalaciones), la persistencia (5 años), el alto nivel de acceso al sistema (navegador) y las capacidades de ejecución remota representan una amenaza significativa para individuos y organizaciones.

11. Indicadores de Compromiso (IOCs)

  • Extensiones: free-vpn-forever, weather-best-forecast, google-translate-right-clicks, crxmouse-gesture, dark-reader-for-ff, ad-stop, entre otras.
  • Dominios C2: liveupdt[.]com, dealctr[.]com.
  • Hashes/Artefactos: Búsqueda del marcador === (0x3D 0x3D 0x3D) en archivos PNG dentro de extensiones. Claves de almacenamiento del navegador: dipLstCd667, dipLstSig667.

12. Recomendaciones de Mitigación

  • Política de Restricción de Extensiones (M1021): Implementar una lista blanca corporativa de extensiones aprobadas y bloquear la instalación de todas las demás mediante políticas de grupo.
  • Control de Aplicaciones y Análisis de Comportamiento (M1038, M1040): Utilizar soluciones EDR o específicas para navegadores que monitoricen y alerten sobre comportamientos anómalos de extensiones (e.g., lectura de archivos de imagen para decodificación, conexiones a dominios C2 conocidos).
  • Segmentación de Red y Filtrado de DNS (M1037): Bloquear el acceso a los dominios C2 identificados (liveupdt[.]com, dealctr[.]com) a nivel de firewall o DNS corporativo.
  • Concientización del Usuario (M1017): Capacitar a los usuarios para que instalen extensiones solo de fuentes necesarias y de desarrolladores verificados, revisen los permisos solicitados y desinstalen complementos no utilizados.
  • Auditoría y Hardening de Navegadores (M1054): Realizar revisiones periódicas de las extensiones instaladas en los dispositivos de la empresa. Configurar políticas de grupo para deshabilitar permisos de extensión innecesarios y forzar la actualización automática del navegador.

13. Herramientas de Detección

  • EDR/NDR: Soluciones capaces de correlacionar actividades de proceso del navegador con conexiones de red a dominios sospechosos.
  • Soluciones de Seguridad Web/SWG: Pueden detectar y bloquear tráfico hacia los dominios C2 conocidos.
  • Herramientas de Análisis de Extensiones: Herramientas forenses o scripts para desempacar y analizar extensiones de navegador en busca de ofuscación y cadenas maliciosas.
  • Reglas YARA: Desarrollar reglas para detectar el marcador de esteganografía (===) en archivos dentro de extensiones o el código ofuscado característico.

14. Referencias y Fuentes

  1. Hackread.com - "GhostPoster Browser Malware Hid for 5 Years With 840,000 Installs" (15 Enero 2026).
  2. Blog de Koi Security - Análisis técnico inicial de la extensión "Free VPN Forever" y el mecanismo GhostPoster (Diciembre 2025).
  3. Blog de LayerX - Investigación de seguimiento que expandió el alcance de la campaña a 17 extensiones y 840k instalaciones (Enero 2026).
  4. MITRE ATT&CK Framework - Técnicas T1027, T1140, T1176, T1059.007, T1041, T1657.
  5. Navegadores Oficiales: Chrome Web Store, Firefox Add-ons, Microsoft Edge Add-ons (para verificación de políticas de revisión).

15. Historial de Revisiones

Fecha Versión Cambios Autor
18-Ene-2026 1.0 Creación inicial de la entrada basada en los reportes de Koi Security y LayerX. Equipo de CTI

16. Etiquetas / Categorías

#Campaign #Malware #BrowserExtension #Steganography #Evasion

#FinancialTheft #AffiliateFraud #InformationTheft

#Chrome #Firefox #Edge

#Persistence #CommandAndControl #DefenseEvasion

Clasificación: PÚBLICO (Basado en información de fuentes abiertas)

Fecha de próxima revisión: 18-Abr-2026

Obtenido de «https://darfe.es/ciberwiki/index.php?title=Operación_Hidden_Plugin&oldid=2721»