Een misleidende campagne, die zich voordoet als de populaire software CCleaner, heeft geleid tot de installatie van de kwaadaardige Chrome-extensie GhostDesk, die is ontworpen om gevoelige gebruikersinformatie te stelen. De operatie begint met een valse website (ccleanerwind[.]top) die gebruikers naar een nagemaakte downloadpagina lokt met de naam en het icoon van CCleaner. Beide downloadopties op deze site leiden naar hetzelfde schadelijke uitvoerbare bestand.

Het gedownloade bestand installeert GhostDesk, een kwaadaardige extensie die browseractiviteit monitort. De nagemaakte installer, hoewel deze de naam en het icoon van CCleaner gebruikt, heeft interne namen en oorspronkelijke bestandsnamen die niet overeenkomen met bekende releases. Dit proces transformeert een legitieme software-download in een middel voor diefstal van inloggegevens, het vastleggen van toetsaanslagen, screenshots en het verzamelen van cookies, met de mogelijkheid om commando's naar browsertabs te sturen.

De infectieketen omvat een meerfasige Windows-installatie. Na de initiële download wordt de CScript-component van Windows Script Host geïnstalleerd. Basisapparaatgegevens worden verzameld en een bibliotheek van Runtime Broker wordt vervangen door een loader voor de volgende fase.

Vervolgens wordt een Chrome-extensie genaamd "Chrome Security Extension" gewijzigd. Hierdoor worden twee scripts, content.js en background.js, vanuit een lokale map geladen telkens wanneer de browser opstart. Deze methode, waarbij een kwaadaardige add-on permanente toegang tot de browser krijgt, vertoont gelijkenissen met eerder geïdentificeerde backdoorcampagnes.

De gewijzigde extensie identificeert zichzelf als GhostDesk. Hoewel de naamkeuze de screenshotfunctionaliteit zou kunnen verhullen, wijzen de gerapporteerde functies op surveillance in plaats van een reguliere browsertool. Deze naam wordt ook gebruikt door legitieme software voor schermoverlaging.

GhostDesk opereert op de achtergrond, waardoor slachtoffers zich onbewust zijn van mogelijke datalekken in hun browser. De malware registreert invoer in formuliervelden en zoekt specifiek naar ingediende gegevens die verband houden met inloggegevens, authenticatietokens en financiële informatie.

Daarnaast kan de malware geplakte cryptovaluta-adressen vervangen, wat kan leiden tot onbedoelde transacties. De achtergrondcomponent is in staat browsercookies te verzamelen, de actieve tab vast te leggen, een lokale relay te onderhouden en door de aanvaller geïnjecteerd JavaScript te draaien op geopende webpagina's.

De malware communiceert via een lokaal WebSocket-eindpunt alvorens de infrastructuur van de aanvaller te bereiken, wat de uitwisseling van gegevens en instructies tussen Chrome en de operator faciliteert. Dit benadrukt het belang van het controleren van de machtigingen van browser-extensies als onderdeel van routine accountbeveiliging, met name op apparaten die voor gevoelig werk worden gebruikt.

Gebruikers die Chrome gebruiken voor e-mail, bankzaken, werkportalen of cryptovalutadiensten kunnen directe en ernstige gevolgen ondervinden. Vergelijkbare campagnes hebben in het verleden browser add-ons misbruikt om op grote schaal gegevens te verzamelen, zoals de langlopende ShadyPanda-campagne. Onderzoekers hebben dezelfde laadmethode aangetroffen bij nagemaakte versies van 7-Zip en Adobe Acrobat, waarbij alle waargenomen samples communiceerden met hetzelfde command-and-control domein. Een neppe Adobe Acrobat-variant gebruikte wscript.exe in plaats van cscript.exe, wat duidt op aanpasbare loaders binnen een consistente leveringsketen. De recente ontdekking van een nagemaakte Google Translate-extensie is een recente herinnering dat bekende namen gebruikt kunnen worden om tools te verhullen die zijn ontworpen om browsergegevens te stelen en sessies op afstand te besturen.

Iedereen die de verdachte installer heeft gedownload, wordt aangeraden het apparaat onmiddellijk los te koppelen van gevoelige accounts. Vervolgens dient een betrouwbare beveiligingsscan te worden uitgevoerd en onbekende Chrome-extensies te worden verwijderd.

Ook wordt geadviseerd om wachtwoorden te wijzigen vanaf een aantoonbaar veilig apparaat. Daarnaast is het van belang om alle actieve accountessies waar mogelijk ongeldig te maken en alert te zijn op ongebruikelijke aanmeldingen of ongeautoriseerde transacties. Aangezien gestolen cookies een wachtwoord kunnen omzeilen, is directe intrekking van sessies net zo cruciaal als het resetten van inloggegevens.

Gebruikers dienen de adresbalk zorgvuldig te controleren alvorens software te downloaden. Gesponsorde resultaten, social posts, sms-berichten of e-maillinks mogen niet worden beschouwd als bewijs van een officiële download. Software dient, indien mogelijk, verkregen te worden via de legitieme website van de uitgever of een vertrouwde app store. Het is tevens raadzaam om Windows en Chrome up-to-date te houden en recent geïnstalleerde extensies te controleren op onbekende elementen.