Risoluzione della backdoor nell'estensione per browser ShadyPanda con MetaDefender Endpoint
Le estensioni del browser spesso sembrano innocue alla maggior parte degli utenti, che le installano senza nutrire alcun dubbio, o quasi, sulla loro sicurezza. Ciò vale in particolare per quelle segnalate e verificate dal browser stesso, come nel caso di Google Chrome. Una volta installate, tali estensioni possono ottenere l'autorizzazione a leggere praticamente tutto ciò che l'utente visualizza, incluse e-mail, dati di sessione, password, sequenze di tasti e strumenti interni, elementi che gli hacker cercano solitamente di sfruttare.
Quando l'autore dell'attacco, noto come ShadyPanda, ha inserito una backdoor in alcune estensioni per browser molto diffuse installate su oltre 4.000.000 di dispositivi, ha dimostrato ancora una volta quanto sia facile per gli hacker nascondersi all'interno delle estensioni per browser, un vettore di attacco spesso sottovalutato.
L'attacco di ShadyPanda non è stato il primo del genere
L'attacco ShadyPanda è ben lungi dall'essere un caso isolato. Negli ultimi anni sono emersi diversi casi di vulnerabilità sfruttate in estensioni dei browser:
- Nel 2025, alcuni ricercatori hanno scoperto una campagna composta da 18 estensioni dannose che tracciavano il comportamento degli utenti sui browser Chrome ed Edge.
- Nel 2023, PDF Toolbox, un'estensione di Chrome che ha raggiunto oltre 2 milioni di download, era in grado di inserire codice arbitrario in ogni pagina visitata dagli utenti.
- Nel 2019, la fuga di dati di DataSpii, che interessava estensioni quali Hover Zoom e SpeakIt, ha comportato la raccolta e la divulgazione di informazioni personali degli utenti, tra cui l'attività di navigazione e altri dati identificativi.
- Nel 2017, Archive Poster, un'estensione di Chrome che conteneva codice per il mining di criptovalute all'interno del proprio codice sorgente.
- Nel 2017, Web Developer for Chrome, un popolare strumento con oltre un milione di utenti, è stato compromesso per inserire annunci pubblicitari e sferrare attacchi di phishing.
Perché gli attacchi alle estensioni dei browser continuano a verificarsi
Le estensioni dei browser continuano a rappresentare un vettore di attacco molto diffuso a causa di diversi fattori:
- Aggiornamento automatico: le estensioni possono aggiornarsi automaticamente senza l'intervento dell'utente. Se un account sviluppatore viene compromesso o se in un aggiornamento viene inserito codice dannoso, milioni di utenti possono trovarsi immediatamente esposti a rischi.
- Privilegi elevati, controllo limitato: le estensioni richiedono spesso autorizzazioni di ampia portata, tra cui la lettura e la modifica dei contenuti dei siti web, l'accesso all'attività di navigazione o l'interazione con i file.
- Mancanza di monitoraggio: molte organizzazioni non controllano quali estensioni installano i dipendenti, quali autorizzazioni richiedono o se gli aggiornamenti comportano nuove minacce.
- La fiducia degli utenti è facile da sfruttare: spesso gli utenti danno per scontato che le estensioni siano sicure se provengono dallo store del browser, soprattutto se sono state verificate o sono in primo piano.
- Prevalenza delle valutazioni sulla sicurezza: molti utenti installano estensioni basandosi esclusivamente sulla popolarità o sulle recensioni, concedendo le autorizzazioni senza comprendere appieno i rischi.
Perché è importante
Le estensioni dei browser sono diventate uno dei vettori di attacco più diffusi e più facili da sfruttare. Gli hacker non hanno bisogno di malware camuffato o di tecniche complesse per infiltrarsi nel dispositivo di un utente. Basta che un utente clicchi su "Aggiungi a Chrome" per aprire una via d'accesso diretta al browser e a tutto ciò a cui esso può accedere, rendendo facile sfruttare milioni di dispositivi prima che qualcuno se ne accorga.
Una volta installata, un'estensione dannosa del browser può:
- Acquisire dati di navigazione, credenziali, cookie e token di sessione
- Registra i tasti digitati, rivelando password, messaggi e dati riservati
- Leggere e sottrarre documenti aziendali, dati sensibili e informazioni identificative
- Inserire spyware o script dannosi in qualsiasi sito web visitato dall'utente
- Creare nuovi percorsi di attacco verso i servizi cloud e le applicazioni sensibili
- Scaricare in background altro software dannoso senza il consenso dell'utente
- Assumere la gestione dei conti
- Reindirizzare il traffico verso siti web dannosi che scaricano automaticamente malware o ricorrono a tecniche di ingegneria sociale
- Caricare le backdoor
Le organizzazioni non possono affidarsi agli utenti o agli store dei browser per bloccare queste minacce. Hanno bisogno di controlli automatici e sistematici a livello di endpoint.
In che modoMetaDefender Endpoint bloccare gli attacchi alle estensioni del browser
MetaDefender Endpoint alle organizzazioni di gestire e controllare le estensioni del browser allo stesso modo in cui gestiscono e controllano le applicazioni e USB .
1. Rileva le estensioni non autorizzate
MetaDefender Endpoint delle estensioni installate, le verifica rispetto alla lista delle applicazioni consentite e segnala eventuali installazioni sospette. In questo modo garantisce che i dispositivi con estensioni non autorizzate vengano contrassegnati come non conformi e che venga loro impedito l'accesso ai sistemi critici.
2. Offre agli amministratori pieno controllo e visibilità
Grazie a My Central Management, i team di sicurezza possono ottenere una visione d'insieme di tutte le estensioni installate sui vari dispositivi, eliminando i punti ciechi e consentendo un intervento correttivo rapido attraverso:
- Gestione e personalizzazione dell'elenco delle estensioni consentite del browser
- Monitorare cosa è stato installato da ciascun utente o dispositivo
- Monitoraggio del numero di dispositivi su cui è stata installata una determinata estensione, con l'indicazione delle versioni installate
- Ottenere informazioni dettagliate sui dispositivi a rischio e sulle politiche che sono state violate
3. Verifica la conformità dei dispositivi prima dell'accesso a sistemi sensibili
MetaDefender Endpoint verificaEndpoint lo stato di sicurezza e di conformità dei dispositivi, impedendo agli endpoint non conformi o compromessi di connettersi alle reti critiche.
4. Blocca i downloadDrive
Se un'estensione dannosa reindirizza gli utenti verso siti pericolosi che attivano download automatici, la funzione "Download Protection"Endpoint MetaDefender Endpointoffre una protezione fondamentale per impedire che ciò accada. Essa esegue una scansione attiva e la sanificazione dei file scaricati tramite browser web e applicazioni, quali Google Chrome, Microsoft Edge e WhatsApp, bloccando i payload infetti prima che raggiungano il dispositivo.
Pensieri finali
Le estensioni dannose per i browser sono diventate un vettore di attacco ricorrente, come dimostra il recente caso di ShadyPanda. MetaDefender Endpoint le organizzazioni a colmare questa lacuna applicando criteri di gestione delle estensioni, garantendo una gestione centralizzata e impedendo ai dispositivi non sicuri di accedere ai sistemi sensibili.
Contatta oggi stesso uno dei nostri esperti per scoprire come MetaDefender Endpoint proteggere i tuoi sistemi critici.
