Основы Интернет - технологий.

Исследователи компании SOCRadar обнаружили фреймворк PEEP, предназначенный для постэксплуатации. Он маскируется под расширение для браузера и использует Chrome или Edge как полноценный бэкдор. Малварь способна похищать данные из браузера и перехватывать сессии, а через Native Messaging получает доступ к ОС и может выполнять команды на зараженной машине.

Специалисты подчеркивают, что сам PEEP не имеет механизмов для первоначального заражения, то есть сначала злоумышленникам придется получить административный доступ к системе жертвы или добиться возможности выполнения произвольного кода.

Вредоносное расширение внедряется в профиль Chrome или Edge, обходя Chrome Web Store и стандартные предупреждения браузера. Для этого малварь подделывает значения целостности Chromium Secure Preferences, а также использует sideloading и злоупотребляет корпоративными политиками ExtensionInstallForcelist и ExtensionSettings. В результате вредоносное расширение автоматически активируется при запуске браузера и закрепляется в системе.

Основной компонент PEEP маскируется под расширение Smart Bookmarks (ID ejkndncpkdcjcikfhiamcdehdoegilbj). Каждые 30 секунд вредонос обращается к управляющему серверу 206.237.30[.]232 или домену xfjcc[.]fun, проверяя наличие новых команд. Параллельно с этим PEEP собирает данные об истории браузера, локали и часовом поясе, информацию об открытых вкладках, активном URL, сессионные cookie и публичный IP-адрес жертвы.

При этом возможности PEEP не ограничиваются только взаимодействием с браузером: когда оператору малвари требуется доступ к зараженной ОС, расширение запускает вспомогательный бинарник nm_host.exe, используя для этого механизм Native Messaging. Это позволяет выполнять шелл-команды, работать с файлами, а также получать информацию о конкретных процессах и службах. Также расширение может делать скриншоты, обращаться к буферу обмена, внедрять на страницы jаvascript, похищать учетные данные, перехватывать сессии и модифицировать содержимое сайтов.

По данным исследователей, PEEP базируется на исходном коде RedExt — опенсорсного фреймворка для анализа браузерных данных и редтиминга, который ранее применялся в атаках червя GlassWorm. Фактически авторы PEEP расширили возможности RedExt с помощью отдельного установщика, компонента для взаимодействия с ОС через Native Messaging, heartbeat-телеметрии, механизма обновления и дополнительных команд.

Отмечается, что для установки и закрепления в системе PEEP использует несколько PowerShell-скриптов. Так, install_silent.ps1 активирует Developer Mode для sideloading’а расширений, patch_secure_prefs.ps1 модифицирует Secure Preferences, а force_enable.ps1 повторно регистрирует расширение через реестр Windows и JSON-манифест External Extensions, после чего перезапускает браузер.

Любопытно, что служебный эндпоинт /health управляющего сервера PEEP оказался доступен без авторизации и раскрыл специалистам внутреннюю статистику. На моментпроведения исследования там отображались 34 зарегистрированных агента, 10 активных сессий и 507 записей с данными. Однако эти цифры не позволили аналитикам оценить реальный масштаб вредоносной кампании, так как неизвестно, какие из записей относились к настоящим заражениям, а какие были сделаны во время тестов или отладки малвари.

Кому принадлежат PEEP и его инфраструктура, пока остается неясным, но в исходниках вредоноса исследователи обнаружили артефакты на китайском языке. Также в коде встречаются упоминания «Authorized CTF», однако в SOCRadar допускают, что подобная формулировка могла использоваться при разработке малвари для обхода защитных ограничений ИИ-инструментов.

Специалисты резюмируют, что главная особенность PEEP заключается в использовании самого браузера как точки опоры внутри системы. Большая часть логики вредоноса работает в подписанном процессе Chrome или Edge, а Native Messaging позволяет выйти за пределы браузерной песочницы и получить доступ к ОС. Это помогает PEEP уклоняться от обнаружения и превращает браузер в инструмент для хищения учетных данных, перехвата сессий и удаленного выполнения команд.