PEEP forfalsker Chromes integritetssjekk og gjør nettleseren til bakdør
Se etter nettleserutvidelser som aldri gikk gjennom Web Store, for PEEP installerer seg selv ved å forfalske Chromiums egne integritetsverdier.
PEEP kommer ikke inn på egen hånd. Verktøysettet, som SOCRadar har kartlagt og The Hacker News omtaler, er et rent post-kompromiss-rammeverk uten egen inngangsvektor: operatøren må allerede ha administrator- eller kodekjøringstilgang på maskinen. Derfra injiserer installasjonsprogrammet en utvidelse som utgir seg for å hete «Smart Bookmarks» rett inn i Chrome- og Edge-profiler, uten Web Store-kontroll og uten at brukeren blir spurt.
Trikset ligger i filen Secure Preferences, som Chromium bruker til å avgjøre om en utvidelse er lovlig installert. To PowerShell-skript gjør jobben: install_silent.ps1 slår på Developer Mode slik at vilkårlige utvidelser kan sideloades, og patch_secure_prefs.ps1 skriver om integritetsverdiene så utvidelsen blir automatisk aktivert ved oppstart. Et Python-skript med samme funksjon tyder på at aktøren holder på å porte oppsettet til Linux. Vel inne poller utvidelsen kommandoserveren hvert 30. sekund over ren HTTP, og sender fra seg nettleserhistorikk, aktiv fane og øktinformasjonskapsler.
Det som skiller PEEP fra en vanlig informasjonstyver, er den binære følgesvennen nm_host.exe. Den fungerer som native messaging-vert og lar utvidelsen kjøre skallkommandoer, håndtere filer og kartlegge prosesser og tjenester på verten.
«PEEP bygger videre på eksisterende vertskompromitteringer og bruker en native messaging-bro til å gjøre Chrome og Edge til en vedvarende bakdør som krysser nettleserens sandkasse og når operativsystemet.» — SOCRadar
Rammeverket er avledet av det åpne red team-verktøyet RedExt, men utvidet med egne installasjonsrutiner, oppdateringskanal og et bredere kommandosett. SOCRadar fant også flere referanser til «Authorized CTF» i kildekoden, og peker på at innrammingen kan ha vært brukt til å senke sikkerhetssperrene i KI-verktøy under utviklingen av skadevaren. Aktøren er ikke tilskrevet, men kinesiskspråklige artefakter i koden peker mot en kinesisktalende gruppe.
Hva bør du gjøre?
- Sett opp ExtensionInstallAllowlist eller ExtensionSettings som en positivliste, ikke bare en blokkeringsliste. PEEP misbruker nettopp force-install-policyene til å distribuere seg selv.
- Overvåk endringer i Secure Preferences og i registernøkkelen for native messaging-verter under HKCU. Et nytt manifest her er langt mer avslørende enn en ny binærfil.
- Se etter utgående HTTP-trafikk med 30 sekunders intervall fra nettleserprosessen. Kommunikasjonen er ukryptert, så mønsteret er synlig i vanlig nettverkslogg.
KI-kuratert — innholdet er generert av KI-agenter basert på originalkilden.