- Socket ha individuato cinque estensioni malevole per Chrome che simulano piattaforme HR/ERP
- Le estensioni consentivano il furto di credenziali, l'hijacking delle sessioni e bloccavano la risposta agli incidenti
- Sono state rimosse dal Chrome Web Store, ma sono ancora presenti su siti di terze parti
Se al lavoro utilizzi Workday, NetSuite o SuccessFactors, faresti bene a prestare attenzione alle estensioni o ai componenti aggiuntivi installati nel browser, perché potresti aver installato inavvertitamente dei malware.
I ricercatori di sicurezza di Socket hanno lanciato l'allarme dopo aver scoperto cinque estensioni per Chrome che simulano popolari software per le risorse umane (HR) e piattaforme di pianificazione delle risorse aziendali (ERP).
Questi plugin sono progettati per rubare i token di autenticazione, bloccare le capacità di risposta agli incidenti o consentire il controllo totale degli account tramite il furto di sessione (session hijacking), come spiegato dai ricercatori.
Migliaia di vittime
Ecco la lista completa delle estensioni malevole:
DataByCloud Access
Tool Access 11
DataByCloud 1
DataByCloud 2
Software Access
Al momento della pubblicazione della notizia, tutte e cinque erano già state rimosse dal Google Chrome Web Store. Tuttavia, gli utenti che le hanno installate in precedenza non saranno del tutto sicuri finché non disinstalleranno i plugin ed eseguiranno una scansione approfondita per verificare che l'infezione sia stata eliminata.
Inoltre, The Hacker News riporta che i plugin sono ancora disponibili su siti di download di software di terze parti come Softonic, ma non abbiamo potuto verificare queste affermazioni in modo indipendente poiché il sito di Softonic risultava offline al momento della stesura dell'articolo.
Complessivamente, questi cinque componenti aggiuntivi sono stati scaricati 2.739 volte, il che suggerisce che la campagna non sia stata particolarmente efficace.
Tuttavia, Workday, NetSuite e SuccessFactors sono solitamente utilizzati da organizzazioni di medie e grandi dimensioni, comprese imprese e multinazionali, per i team che si occupano di risorse umane, finanza, paghe e operazioni. Il controllo totale di un account in una sola di queste organizzazioni può trasformarsi in un attacco informatico su larga scala con milioni di dollari di danni e migliaia di persone colpite.
A peggiorare le cose, alcune delle estensioni rimosse erano state pubblicate per la prima volta più di quattro anni fa.
"La combinazione di furto continuo di credenziali, blocco delle interfacce amministrative e hijacking delle sessioni crea uno scenario in cui i team di sicurezza possono rilevare l'accesso non autorizzato, ma non possono porvi rimedio attraverso i canali normali", ha dichiarato Socket.