Исследователи зафиксировали появление пост-эксплуатационного набора PEEP, который маскируется под безобидное расширение для управления закладками. Вредоносная программа использует браузеры Chrome и Edge как точку опоры, чтобы незаметно выполнять команды на заражённой машине, похищать учётные данные и передавать данные злоумышленникам. PEEP не проникает в систему самостоятельно и срабатывает только при наличии у атакующего прав администратора или возможности запускать код на устройстве жертвы.
Описание
Главная особенность инструмента - метод установки. Разработчики нашли способ обойти проверки, которые в обычных условиях защищают браузер от нежелательных расширений. Расширение внедряется напрямую в профиль Chrome или Edge, подделывая внутренние параметры целостности браузера. Это позволяет установить вредоносный компонент без предупреждений системы и без перехода в официальный магазин расширений. Пользователь не видит подозрительных действий, а браузер считает такой код легитимным.
После установки расширение работает в паре с отдельной программой, которая действует уже за пределами браузерной среды. Связка позволяет атакующему читать и изменять файлы, запускать системные команды, просматривать список работающих процессов и служб. Фактически браузер становится мостом между внешним злоумышленником и операционной системой, обходя многие уровни защиты, ориентированные на контроль исполняемых файлов.
Каждые 30 секунд вредоносная программа отправляет сигнал на управляющий сервер по незашифрованному каналу связи. Вместе с этим сигналом происходит передача собранных данных. В частности, атакующие получают историю посещений, сведения об открытых вкладках и файлы cookie сессий. При необходимости список действий расширяется: злоумышленник может сделать снимок экрана или выгрузить произвольный файл с диска жертвы.
Как показал анализ истории вредоносной кампании, инфраструктура управления PEEP имеет серьёзные слабости. Сервер, который координирует работу агентов, размещён на одном IP-адресе и связан с доменом, зарегистрированным в конце 2025 года. Он использует стандартные веб-технологии и не защищает передаваемые данные должным образом. Более того, в открытом доступе на отдельном порту оказался каталог разработчика, где хранились исходные коды, готовые сборки, служебные журналы и секретный ключ, позволяющий подписывать обновления расширения от имени его создателя.
PEEP является не самостоятельной уникальной разработкой, а глубокой модификацией открытого проекта RedExt. Исходный каркас отвечает за связь расширения с командным сервером и сбор данных. Поверх него операторы добавили собственный установщик, мост для выхода за пределы браузера, канал обновления и значительно более широкий набор команд. Отдельные компоненты создавались с помощью автоматизированной системы сборки, а часть техник заимствована из публичных исследовательских работ.
Анализ внутренних артефактов указывает на вероятного разработчика. Журналы тестирования написаны на традиционном китайском языке, а панель управления содержит подписи на этом же языке. В документации встречается упоминание об "авторизованной CTF-среде" и "лабораторном использовании", однако никаких подтверждений легального применения не обнаружено. По мнению исследователей, такая маркировка может использоваться для обхода фильтров безопасности у больших языковых моделей, которые могли привлекаться для написания кода.
С технической точки зрения PEEP демонстрирует высокий уровень проработки, но слабую операционную дисциплину оператора. Связь с управляющим сервером передаётся без шифрования, период опроса фиксированный, а сам инструмент поставляется вместе с ключами подписи. Подобная небрежность уже привела к раскрытию внутренней статистики сервера: на одном из публичных адресов были видны сведения о количестве зарегистрированных агентов, активных сессий и записей данных. Тем не менее эти цифры не позволяют достоверно отличить тестовые записи от реальных компьютеров жертв.
Несмотря на отсутствие подтверждённых атак на конкретные организации, сам факт появления такого инструмента говорит о тенденции. Расширения браузера перестают быть только средством кражи паролей и превращаются в полноценный канал для удалённого управления устройством. Особую опасность представляет многослойная система закрепления в системе: чтобы полностью избавиться от угрозы, недостаточно удалить расширение, поскольку отдельные его следы сохраняются в настройках браузера, в реестре Windows и в кэше исполняемых скриптов.
Компаниям и частным пользователям стоит учитывать такие риски. Регулярное обновление браузеров, запрет на установку расширений из непроверенных источников, отключение режима разработчика на рабочих устройствах и контроль за изменениями конфигурационных файлов браузера помогут снизить вероятность подобного вторжения. Отдельного внимания требует использование надёжной многофакторной аутентификации, поскольку кража файлов cookie активной сессии позволяет злоумышленнику обойти даже сложные пароли. PEEP показывает, что современный браузер стал полноценной целью для атак, и защита этой части корпоративной инфраструктуры теперь требует такого же внимания, как и защита серверов и рабочих станций.
Индикаторы компрометации
