5 anni, 119 estensioni, 2,6 milioni di vittime: la campagna steganografica scoperta da Microsoft su Edge

Microsoft ha identificato una vasta operazione malware nel suo store ufficiale per Edge, coinvolgendo 119 estensioni e oltre 2,6 milioni di utenti. Le estensioni maligne utilizzavano tecniche avanzate di steganografia per nascondere il codice dannoso. L'attacco ha dimostrato una notevole capacità di adattamento, passando dal vecchio standard Manifest V2 al più recente Manifest V3.

Microsoft ha scoperto una grande operazione di malware all’interno del suo store ufficiale per il browser Edge. Questa operazione coinvolgeva ben 119 estensioni diverse e ha interessato più di 2,6 milioni di utenti. Le estensioni infette si presentavano come strumenti utili, come ad esempio widget per le previsioni del tempo, blocchi pubblicitari, gestori di download per video, strumenti per la gestione dei file PDF, palette dei colori e servizi di intelligenza artificiale.

Tutta questa operazione, chiamata StegoAd, ha fatto uso di tecniche avanzate di steganografia per nascondere il codice dannoso all’interno di file che sembravano assolutamente innocui e sicuri.

Purtroppo, l’attacco non si è limitato solo al browser Edge. La società Microsoft ha scoperto che gli autori di questa campagna hanno anche pubblicato estensioni infette per i browser Chrome e Firefox, dimostrando così la loro capacità di agire su più fronti e di raggiungere un pubblico ancora più ampio.

L’attività di StegoAd risale almeno al 2021. È stata notata per la sua capacità di adattarsi facilmente. Infatti, è passata dal vecchio standard Manifest V2 al più recente Manifest V3. Questo nuovo standard è stato pensato per migliorare la sicurezza delle estensioni dei browser.

Una cosa che desta preoccupazione riguardo a questa operazione è che il codice dannoso viene attivato con un certo ritardo. Inizialmente, le estensioni infette sembrano strumenti legittimi. Eseguono le funzioni che dichiarano di avere.

Tuttavia, solo dopo tre-cinque giorni, attivano i componenti dannosi. Questo rende difficile per i sistemi di sicurezza rilevarle. Inoltre, permette agli utenti di abituarsi all’estensione.

Microsoft ha descritto gli operatori di StegoAd come tecnici avanzati e sofisticati, in grado di aggiornare continuamente le loro tattiche per evitare la scoperta. La compagnia ha rimosso tutte le estensioni infette dal suo store, ma l’impatto complessivo potrebbe essere maggiore se si considera che gli utenti di Chrome e Firefox potrebbero essere stati coinvolti.

Per essere al sicuro, è una buona idea controllare tutte le estensioni che abbiamo installato e rimuovere quelle che non ci servono più. Sono particolarmente pericolosi gli strumenti vecchi come i download manager video, i blocchi pubblicitari, gli “acceleratori” internet, gli strumenti PDF e i piccoli add-on che non hanno un chiaro sviluppatore.

Se notiamo che una delle nostre estensioni è nell’elenco fornito da Microsoft, allora è meglio cambiare le password e terminare le sessioni attive nei servizi importanti. Inoltre, è sempre una buona idea attivare l’autenticazione a due fattori per aggiungere un altro livello di sicurezza per i servizi che la implementano.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response