Группа RedDrip Центра анализа угроз компании QiAnXin Technology обнаружила масштабную цепочку кибератак, использующую легитимное офисное программное обеспечение для распространения вредоносного расширения браузера. В ходе расследования выяснилось, что процесс OfficeAid.Main.exe в обновлении популярного в Китае приложения Office Assistant до версии 3.1.10.1 от 28 мая 2024 года содержит скрытый загрузчик. Этот загрузчик отсутствовал в предыдущей версии 3.1.9.9 от марта 2024 года, что указывает на недавнее внедрение вредоносного кода.
Описание
После проверки окружения на наличие виртуальных машин и инструментов отладки загрузчик обращается к домену управления командованием (C2) ofsd.fh67k[.]com. Затем он размещает в системе вредоносный компонент OfficeTeamAddin.dll. Интересно, что цифровая подпись этой библиотеки отличается от официальной подписи Office Assistant. Однако пути отладочной информации (PDB) имеют некоторое сходство, оставляя открытыми вопросы о происхождении компонента.
Дальнейшая цепочка атаки включает несколько этапов. Вредоносный код загружает второй компонент, который соединяется с сервером C2 для получения ссылки на полезную нагрузку (payload). Финальным этапом становится развертывание браузерного расширения Mltab. Это расширение активно собирает конфиденциальные данные пользователей. Оно фиксирует историю посещений, шаблоны использования и другую поведенческую аналитику. Собранная информация шифруется и отправляется на контролируемые злоумышленниками домены.
Расширение осуществляет подмену трафика. Оно модифицирует настройки браузера, в частности файл Secure Preferences в Microsoft Edge, чтобы перенаправлять пользователей на мошеннические или рекламные страницы. Механизм включает подмену стартовой страницы, результатов поиска и даже контекстного меню. Например, добавляется пункт "Искать с помощью Baidu", который на самом деле ведет на сторонние сайты. Для этого расширение регулярно загружает с серверов C2 актуальные правила подмены ссылок.
Атака имеет широкий охват. По данным исследователей, инцидент активен как минимум с мая 2024 года. За полтора года было поражено около миллиона терминалов в Китае. Только вредоносное расширение Mltab было установлено более 210 тысяч раз. Примечательно, что на момент публикации отчета это расширение все еще доступно в официальном магазине дополнений Microsoft Edge. C2-серверы атаки входят в топ-1 миллион доменов по версии OpenDNS, что может маскировать их активность под легитимный трафик.
Целью атаки становятся несколько популярных браузеров. В их список входят Microsoft Edge, Google Chrome, QQ Browser, Sogou Browser, Lenovo Browser и 2345 Browser. Расширение маскируется под плагин "MadaoL Newtab". После установки оно внедряет в новую вкладку код, который загружает удаленные скрипты для отслеживания и перенаправления трафика.
Эксперты рекомендуют организациям проверить наличие подозрительных расширений в браузерах и обновить средства защиты.
Индикаторы компрометации
