В январе 2022 года была обнаружена кампания угонщика браузера/вредоносного ПО под названием ChromeLoader (также известного как Choziosi Loader и ChromeBack). Несмотря на использование простой вредоносной рекламы, вредоносное ПО получило широкое распространение, потенциально способствуя утечке данных тысяч пользователей и организаций.
ChromeLoader Malware
Вместо более традиционных вредоносных программ, таких как исполняемый файл Windows (.exe) или библиотека динамических связей (.dll), авторы вредоносной программы использовали расширение браузера в качестве конечной полезной нагрузки. Расширение браузера выполняет функции рекламного ПО и похитителя информации, передавая все запросы пользователя в поисковых системах. В ходе развития этой кампании мы обнаружили значительные изменения и дополнения возможностей, и мы прогнозируем дальнейшие изменения по мере продолжения этой кампании.
ChromeLoader - это многоступенчатое семейство вредоносных программ. Каждый вариант содержит различные этапы цепочки заражения, но цепочка заражения часто выглядит довольно похоже среди различных вариантов, включая вредоносные расширения браузера, используемые во всех вариантах.
Различные отслеживаемые нами расширения полезной нагрузки имели жестко закодированную версию, добавленную злоумышленником. Эта процедура маркировки способствовала процессу исследования, связывая различные версии с одной и той же кампанией - причем в правильном хронологическом порядке.
Различные версии расширений относятся к разным вариантам этой вредоносной программы. Мы различаем варианты не только по версии соответствующего расширения, но и по техникам, используемым в цепочке заражения, а также по целевым операционным системам.
Различные варианты упоминаются в этой статье в порядке их обнаружения и упоминаются в этом документе следующим образом:
Вариант 0: Назван так, поскольку был активен до Варианта 1 (первого варианта, обнаруженного в природе). Он использовал скомпилированные исполняемые файлы AutoHotKey (AHK) и версию 1.0 расширения Chrome. Его первая известная атака произошла в декабре. В данной статье этот вариант рассматривается четвертым (в разделе "Реальный первый вариант Windows").
Вариант 1: Упоминается первым (начало в разделе "Вектор заражения"). В качестве полезной нагрузки он использовал версии 2.0-4.4 расширения Chrome, а в качестве дроппера - исполняемый файл DotNet, запускающий обфусцированный PowerShell. Он был активен в основном в январе.
Вариант 2: Упоминается третьим (см. раздел "Второй вариант Windows"). Он использует версию 6.0 расширения Chrome и использует обфусцированный исполняемый файл в качестве начального дроппера. Он активен с марта.
Вариант для macOS: Упоминается вторым (см. раздел "Вариант для MacOS"). Этот вариант нацелен на компьютеры с MacOS (в то время как другие варианты нацелены только на пользователей Windows). Используется версия расширения 6.0. Активен с марта.
ChromeLoader Malware IOCs
Indicators of Compromise
Domains
- ableawid.com
- adiingsinsp.xyz
- airplanegoobly.com
- ajorinryeso.xyz
- baganmalan.com
- balljoobly.com
- balokyalokd.com
- betasymbolic.com
- blesasmetot.com
- boogilooki.com
- bookimooki.com
- brokenna.work
- carfunusme.com
- carmoobly.com
- chairtookli.com
- chookiebooki.com
- choopinookie.com
- ckgrounda.com
- computermookili.com
- dubifunme.com
- dudesurfbeachfun.com
- eandworldw.com
- etobepartou.com
- etterismype.co
- exkcellent.com
- funbeachdude.com
- idwhitdoe.work
- ithconsukultin.com
- ketobepar.com
- kfareputfeabl.com
- kooblniplay.com
- koooblycar.com
- krestinaful.com
- ktyouexpec.xyz
- learnataloukt.xyz
- letfunhapeme.com
- lookiroobi.com
- lookitoogi.com
- madorjabl.com
- malanbagam.com
- mokkilooki.com
- mployeesihigh.xyz
- muendakere.xyz
- myeducatio.com
- nakasulba.com
- ndinterper.com
- ndworldwi.com
- ngwitheaam.xyz
- nookiespooti.com
- oempafnyfi.com
- playkooblni.com
- ptonnervent.xyz
- rockslootni.com
- rooblimyooki.com
- rsonalrecom.co
- saveifmad.com
- sforourcompa.com
- siwoulukdli.com
- siwoulukdlik.com
- slootni.com
- sonalskills.com
- tabletoobly.com
- tcaukthw.com
- tobedirectuke.com
- tobepartou.com
- tooblycars.com
- toogimoogi.com
- toukfarep.com
- uiremukent.com
- ukmlasttyye.xyz
- ukrawinrusyes.com
- ukseseem.xyz
- utfeablea.com
- voobmijump.com
- withyourret.xyz
- xoomitsleep.com
- yalfnbagan.com
- yalokmalos2.com
- yeconnected.com
- yescoolservmate.com
- yflexibilituky.co
- yooblygoobnku.com
- yourretyeq.com
SHA256
- 00c07e354014c3fb21d932627c2d7f77bf9b4aeb9be6efb026afdbd0368c4b29
- 0257dccfdeb1bc9683334d0d964c72ea0eeedbfda33cba1f60a395cca8e516da
- 03b2f267de27dae24de14e2c258a18e6c6d11581e6caee3a6df2b7f42947d898
- 060c0b17a2d6fc7fb3a7a866c2013891527f1cf4602c420bc186d55b1802e382
- 061408f4e1f37feb0b89db3cafc496194941fade412c96ee03fc46e492df3d29
- 08de8a1103ccd7980a9900e2ceccdef0fe4db6bd06184eb628bfbcf76a7ff997
- 099c2d8c3c34a24f6ed3cbf5c4ff6b22312546f2c3881281b7cc66ebff899136
- 0b00a215a42739809a55f05b6028399843e305fb285028de6efc5544b949a1ef
- 0bc3516e327fea0b5f65299366182d1e7577c9998d0cbd07891709f51fb0ac47
- 0c1700551ca47143590722ae60204f1a597040d5fa6afa966d4fc3c42d82d517
- 0cf40fbce8a48bfc5068ac24ec1dd1f828af31fe3cff0342003d12b0ea561dcf
- 0d510dbcf8ed5c7b81206598886a7fbd86f11d36871612ba066d6ec85723fada
- 0e1c5477ea71fdc1271e63989107b2d855c685c6c2303f297a610eb875520ec0
- 0ecbe333ec31a169e3bce6e9f68b310e505dedfed50fe681cfd6a6a26d1f7f41
- 0f5fb924eb5eb646ba6789db665545a08c0438e99e5a24f27c37bc0279b1a8a6
- 10bd1b5144d9a2582aaecd28eb0b80366a2675d0fd8a2f62407f8c108d367ec7
- 11174dbaca376288fd59c66d1c00255ad6c034beff96a075e833897ef3a113cc
- 11ad9d3e25bee2275f4930818bd737df1e1d79b334f990970c61763078c532d0
- 1286ff043574dffb0c0a677b102272d7ea858030dc48d6c50534dba19d95adb6
- 140162b2c314e603234f2b107a4c69eb24aece3a3b6bd305101df7c26aee5f8e
- 1717de403bb77e49be41edfc398864cfa3e351d9843afc3d41a47e5d0172ca79
- 181a15d583d1ba4ad42b09ab62f3ef401c8cc2103e7ea2717d0571864f5440fd
- 18b8ab327177cbde47867694d3d7acb93c83237d2418271f1020fe943760c026
- 1a01be5f08943ce03811f398f7b77aba26313dc0d0681cfad89f37db59819bc2
- 1ad535854fe536fd17aa56ae82f74872d6fad18545e19950afa3863bcbcf34eb
- 1adc521a448a3588c892c98e00c9e58ba30a453b0795286b79ff2f0eaf821d25
- 1b4786ecc9b34f30359b28f0f89c0af029c7efc04e52832ae8c1334ddd2b631e
- 1bb6f2a9498a220ade34b64f3208287fca6699847a5fd61e0e5ed4ee56b19316
- 1dbc8aa73b64a1a607bcbe448347314d9a456d4d31a6cf846e25277b575bbb5b
- 1dbe5c2feca1706fafc6f767cc16427a2237ab05d95f94b84c287421ec97c224
- 216f9f9c3e69c6723203afb79ee91917eff7707312058d7e9858d70bfb6acf92
- 22f4a87053769ae21efa8945a83e46df2f56e8f01a66f156cacf5ef6b6a8262a
- 23f30fa4e9fe3580898be54f8762f85d5098fd526a51183c457b44822446c25a
- 2612ee5c099d6115dcbed7247cc56838fdeeb2654ba365b1b00d6294e6981f22
- 267ab450a5965a525bda34deccd64bf22b5fb6cc04d811a3eec1d9289e28bc73
- 26977d22d9675deddfde231e89a77c013062b8820aa117c8c39fd0a0b6ab0a23
- 26bce62ea1456b3de70d7ac328f4ccc57fe213babce9e604d8919adf09342876
- 276f4008ce6dcf867f3325c6b002950cbd0fdb5bf12dc3d3afb1374622820a4e
- 2b24417ea8cb3271636e1747be0cc205af4bdc0d31686f024693259afdca259e
- 2d4454d610ae48bf9ffbb7bafcf80140a286898a7ffda39113da1820575a892f
- 2e006a8e9f697d8075ba68ab5c793670145ea56028c488f1a00b29738593edfb
- 2eb1056cc176747c1be4b115be90cc7ee26da11a597cff6631da54c517d1a15c
- 308071d4e8298b4eba9f82ca7269ac58f8e39f64da515c0761406aacd110b731
- 309c87b34966daecd05c48b787c3094eeed85b5f23ec93b20fc9cdbf8ff9b586
- 3271eac4d9d20044a5fc27be6d0feece31791f3889dce2788f7ef4e201ffff4e
- 329e7494d516652e64c1181979fdf53b507b4a3ab23b4821823f0aef96abc6a4
- 32aa2f66b96a95a00b032758232fc09e18439395466660b995a7d82905ef0637
- 34d21f3a543a69f34973c25bbaaedb5c8bc797d63da493cbac97bfbbedbe7206
- 3927e4832dcbfae7ea9e2622af2a37284ceaf93b86434f35878e0077aeb29e7e
- 3b4c3c598b87a3c3b9590940b4e67861c6541316bac1e1c07a139b1892307c04
- 3b5a18d45ab6fcf85df51703ef6fac8226fc274ecd0a21c0a1f15f15f7d39e01
- 3c7acdce8a37e40672eb4fba092804f9e783f284e7d52cbcf8a9f9f3cf306af7
- 3d65f5a060f8ecc92de9f5e0754b8f6c129cb9a243bf1504a92143ac3bc5a197
- 3da0189884e07adfe946ef8f214fa9ec1c01bf093d69418563368f39fdc98e12
- 3ff8e17ee3c130e327a614400f594fec404c42188c0e7df0ce3b2bb3a3c1aff6
- 40232e0ffdb8fe925f9d4a1f10d5aeda208bb58d82390ac7d1952f9219770103
- 424347b6f5caca8174d1b0ac2e32867a4201a41176fed1af7b3e1a0716fc7e46
- 436dde0fb44f95371832a55e56ed9ee9cb22f5323ce0d2a4cdcd61cbab713503
- 44464fb09d7b4242249bb159446b4cf4c884d3dd7a433a72184cdbdc2a83f5e5
- 44e77ac27a8b7d9227d95feb87bad1cc2a4ed2172c85f5e16d335a4d62d385f4
- 44f9680710ba7635bb3bfe025b087e85d51857d9618c5ffa5c247ccdc8bca3c3
- 45510bf70bc9063392ac0514f4e26431b9c38631ed0e61b6847fe9385f5eb17c
- 4556d3c5e6a3322fcb39da3ef5b36d541bab70fa2f68a12e52c3de41bef092a6
- 4673c1f8d307b70c4be837e842cfdf5cce60c6bf793ae85a1bce07c9c15fe14d
- 47c65ef4d6b0ffe7109c588e04575dcf05fdf3afe5796078b4f335cb94c438b7
- 486c966b6e2d24dd8373181faf565d85abfd39559d334765f5135e20af55542c
- 48efaa1fdb9810705945c15e80939b0f8fe3e5646b4d4ebcace0c049d1a67789
- 49006f7529453966d6796040bb1c0ab2d53a1337c039afe32aaa14a8cce4bf0e
- 4a0ababa34024691dc1a9e6b050fe1e5629220af09875998917b1a79af4e2244
- 4e5001c698f9f1758874067c5fb6fb2911e1f948db2cc0f289d42c61f2e2fec1
- 502a8d1e95c21b5dc283ef4877ca2fe2ba41570bd813c47527fca2fb224d5380
- 52c7bb3efafdd8f16af3f75ca7e6308b96e19ef462d5d4083297da1717db8b07
- 53347d3121764469e186d2fb243f5c33b1d768bf612cc923174cd54979314dd3
- 55f240467cf2c0891484d97ded9e0c53b259a88814b6f1c78a8961bda58c9377
- 564e913a22cf90ede114c94db8a62457a86bc408bc834fa0e12e85146110c89b
- 57c0f3d24452b68d756577af78e809e2da12694691e62448bb132c12311360ec
- 5b7dedcf0802547c8e18d46fbfe1a5daa91e77a6cf464c4b5f0cfc48fa235c1d
- 5e6b5a9c0849db8ca0696a16c882d6945a62e419bd646f23d4d00533bbe9bca5
- 5ee2b7ea46cc3f34b796ab4992e778938c057490695e9109f016fc7a1b308395
- 5fbf4d8d44b2e26450c1dd927c92b93f77550cebfbc267c80ff9d224c5318b88
- 606d49ae054e13461bad3e405cc5996462c14bd48e94fe8a63f923fbb7c14b71
- 614e2c3540cc6b410445c316d2e35f20759dd091f2f878ddf09eda6ab449f7aa
- 63c97409bb2a8b5026b459ff6c6dcc93dd12fdd8c0a4915e9298bd96dfdedb5c
- 667f5bb50318fe13ea11227f5e099ab4e21889d53478a8ee1677b0f105bdc70a
- 66ababb8bd9f8b19193f56678568197350be6306f448ee9a01eeee21a487f765
- 6845a4b37e51fbf01a9573330c81483d5a438dbb1c87cbe069f72896927b4dab
- 6b1db4f891aa9033b615978a3fcfef02f1904f4eba984ba756ff5cd755d6f0b4
- 6c1af2e5cf6d6ea68c7e017d279b432d5259358b81ea1c444dc20625805b95b9
- 6c1f93e3e7d0af854a5da797273cb77c0121223485543c609c908052455f045d
- 6c54e1ea9c54e4d8ada1d15fcdbf53e4ee7e4a677d33c0ea91f6203e02140788
- 6c87e496ba0595ac161be8abb4e6da359d5d44c7e5afbe7de8fd689e4bb88249
- 6d89c1cd593c2df03cdbd7cf3f58e2106ff210eeb6f60d5a4bf3b970989dee2e
- 6e0cb7518874437bac717ba1888991cee48dfaca4c80a4cbbbe013a5fe7b01a6
- 6f105daec2336658629042afa4f334f4949fc189404f66c09400fd2ca260eb0c
- 70f1d1b35ee085768aa75f171c4d24b65d16099b2b147f667c891f31d594311b
- 747ba8be14e4d465f79a8211a26204230719ce19293725ca139f4386e57a7dff
- 79114e6392bb8ffee76738e71f47131b0a2c843efe3e14f1b5e6a6d2a94c1046
- 7ba5e623ad2e09896f0e1d1167758bcf22a9092e4a65856f825a2b8740e748f6
- 7e3d97c3802cc8bc9524480170d78aa68a9de28e3a7f4ce35d103f77843a3d0c
- 7ef7bdf8ea2f8751f45482453bf7441d2b2f92d743324afdf1afc11ea248c56d
- 7f2cd9ad91ddab408619d3c80eef614b91a727c35285ebd813bcd1636b2cb030
- 7f9d31d382cef81bf858b8e848897b41397c033ad5aa5c416277cf843d7218f5
- 83cf9d2244fa1fa2a35aee07093419ecc4c484bb398482eec061bcbfbf1f7fea
- 84c93f1f7bdc44e8e92be10bf5e566f3116c9962c35262643fe2084c3b8d1bb5
- 860c1f6f3393014fd84bd29359b4200027274eb6d97ee1a49b61e038d3336372
- 87f0416410ac5da6fd865c3398c3d9012e5488583b39edacd37f89bc9469d6a9
- 8840f385340fad9dd452e243ad1a57fb44acfd6764d4bce98a936e14a7d0bfa6
- 8bdaf2a1e5400df06ce4d47b5b302b20cfb62e662e778a657485c6599865e393
- 8e74b6d667d7ddb7859687fd5c599f67b62b491087d1d926037effc7f7890b43
- 8ea53e242e05e5da560ac9a4c286f707e888784d9c64c43ae307d78b296d258a
- 8ef4026b254dd0918bf3ace7741b26ff52a52ef024c721d8129c5ccfa4ccde24
- 8f2da6c721251edd251addb795552ed54d89fb53d2a470d8a7f807e77aac402c
- 90acb46c7964404cf22b7faad5910dfa97ae8d49b45808bd9f98bb61b7bc878f
- 92dc59664ab3427fb4b0d2d4108f1729abb506a2567770f7c4406e64db9aafae
- 965a6729b89f432f61b65a7addbe376317e8fd4a188c05c6aae7f9e4a1a88fbb
- 9a5be852afef127b5cbe3af23ef49055677b07bcaca1735cf4ad0ff1e8295ccb
- 9d46a0509291bf3365771f6ad53e213ffb58e4926f11365687f4a11fd0f03855
- 9eca0cd45c00182736467ae18da21162d0715bd3d53b8df8d92a74a76a89c4a0
- a0ff3b427c77594fa48d79ed52d372bd2a8baae54ee85b243d86d9dd493ffbc6
- a1005c22c2305781fbbce5552dcc095f9ef0237023d7041eace005542fcd3d81
- a113128466145973de141c4e5c5199e5474050edd4d9225463d0527d68935ef0
- a3631d6012b72a63b0f1b4a013d0971ea8505ee3db32d4a0b7b31cb9ba8dd309
- a660f95f4649f7c1c4a48e1da45a622f3751ee826511167f3de726e2a03df05c
- a6c8cbbe502df8407861590b97e634f51b85e4fe176bf68f86f6088ce81baaac
- a950e93ab9b2c4d1771a52fbeb62a9f2f47dc20e9921b9d23d829b949ba187b5
- a9670d746610c3be342728ff3ba8d8e0680b5ac40f4ae6e292a9a616a1b643c8
- aa9b742267bba71507a644ea4ee52a0f118ee6d595bd7eac816a8e8ee0246427
- afc8a5f5f8016a5ce30e1d447c156bc9af5f438b7126203cd59d6b1621756d90
- b65dc44a3288b1718657d2197b1e0b22aa97d0e33b05e2877320e838da0ccb26
- b73becdb7ad8b130072622ac7b2f03d450d7d0f9aae28e67dcb6724e5727f96c
- b8b8f57edbd70345e2134abd8917371a29e04aa37210b553879710f717b69ddd
- b919fbd354654a7bf99db7206adf6a5fba9ce73ee3fedb6d08ed932ee527f301
- bcac3fee6182a64764e88b4ed4f78cc071f297c501746df6473b0e9e679b3b43
- bcc6cfc82a1dc277be84f28a3b3bb037aa9ef8be4d5695fcbfb24a1033174947
- bfead4ccc3c16dee5f205b78e12aaaa2b33bdedbc57e22a4dbc48724f13f6277
- c05dbec1aaa11703195c743433a4319d49180c7fbd9a962e162cacd6b605ddd9
- c0e50646addd20136befa520380e4d0f8915c0e0808fd8d393a386f5af87e623
- c56139ea4ccc766687b743ca7e2baa27b9c4c14940f63c7568fc064959214307
- c67b87cb7420500e4b0bb6500f1875bc77a7d96997ed2850d8142dfd9636da29
- c6a68fac895c0b15d5cbbba63f208e5b0a6f3c1d2382b9465375d1794f447ac5
- c7aedc8895e0b306c3a287995e071d7ff2aa09b6dac42b1f8e23a8f93eee8c7a
- c93fbf63d82b816cd32dfc7bb0eaf7053fb27cfb78433638248010e83636ae20
- cc01324cbefb6d79e3a7ea1031edb6256fb3d40832ea621913aadda70e08a3b9
- ce129e2e14fb0de7bd0af27a8303686bde1c330c05449c1ff95591f364189e33
- d2b1b9642884a6839f09204135944c02c7437f7e692d07bb0d0269c4ff8316bb
- d3212f79f33c8ccf6ba27984ed18acc86ec2297fe9c3df8fad5a00878986f2e2
- d374ef30aa17f8bad0fb88d0da47f4038669c340d4c7fc2ff6505b07c17fdf65
- d8d18baa934a4f1ad6777f2ca862be8d3b3a59a1fedb8d2a8e50f0a419793a15
- dd2da35d1b94513f124e8b27caff10a98e6318c553da7f50206b0bfded3b52c9
- ddb1793220d75c7126eb8af9f0d35f22e7be6998bf8ede8199c2019119b26592
- ded20df574b843aaa3c8e977c2040e1498ae17c12924a19868df5b12dee6dfdd
- dfc90f64139b050cf3c72d833e1a7915af1bd689ece7222b9ac2c8426a0bfd0a
- dffdad0ced320b9934019a75658b16cf8f6abb2e4af48cb73f66a761dfe72392
- e0d57152524e79a07e5b7d7b37831cb7596cd3afe651b4eecaf4123b1af1ffa6
- e1f9968481083fc826401f775a3fe2b5aa40644b797211f235f2adbeb0a0782f
- e449eeade197cab542b6a11a3bcb972675a1066a88cfb07f09e7f7cbd1d32f6d
- e4ab0e5ecbd6c87432f08398b7f7424a248f98ff780e0adb710edd0698bf5434
- e72a42ad27c06ba0a9951705423a3650a0c4a1f8c18c5782ab98e2e72021bbb8
- e920dbc4741114f747a631928e398ef671fe9133b6aab33991d18150b4fcd745
- edb21b3f6f52ab0d0e17aca7e658a6e3f9ce98002433810612562b8e6ab41920
- eddd3ce6d39909be6fd5a093c2798a0c9113769b8f0f24a038449b409232472a
- edeec82c65adf5c44b52fbdc4b7ff754c6bd391653bba1e0844f0cab906a5baf
- ef633a38fb49a81a30fe8977dff378bb9e89f849ceceb709cbcf76272f92c402
- f0da9bf1fc8da212ae1bcb10339539f5127e62aae0ad5809c2ae855921d2ab96
- f3176bcd28b89e4ae7a4426c82c8b73ca22c62ecbc363296193c8f5becef973c
- f3727e372949d12ce9f214b0615c9d896dcf2ac0e09fcd40f4a85ff601ef01f0
- f85e706123bedf3b98eb23e2fb4781e2845b2b438aa0f6789c2b496bfb36d580
- f940e948586d3148e28df3e35e5671e87bc7c49525606068ac6f00783409d7aa
- fa52844b5b7fcc0192d0822d0099ea52ed1497134a45a2f06670751ef5b33cd3
- fad5e680c181fd7415e8c03ee20735411d1259f4ae19ead0100f0929d48f3f53
- fb9cce7a3fed63c0722f8171e8167a5e7220d6f8d89456854c239976ce7bb5d6
- fcc92f1736b5b4bd9fe503e7d6debeb7e69858fc582783c3f35e7cdece9d4feb
- fd9a89dc83d26994708a1d9661322df12d107693d4b483a89bf9b03c974f418c