크롬 보안 확장 프로그램이 해킹돼 사용자 데이터를 훔쳐가다

최소 5개의 Chrome 확장 프로그램이 조직적인 공격으로 인해 손상되었으며, 위협 행위자가 사용자의 민감한 정보를 훔치는 코드를 성공적으로 삽입했습니다.

이는 Cyberhaven의 사이버보안 전문가가 제공한 정보입니다. 미국의 데이터 보안 회사는 Google Chrome 스토어에서 회사 관리자 계정을 표적으로 삼은 피싱 캠페인이 성공한 후인 12월 24일에 발생한 침해에 대해 고객들에게 경고했습니다.

Cyberhaven의 주요 고객으로는 Snowflake, Motorola, Canon, Reddit, AmeriHealth, Cooley, IVP, Navan, DBS, Upstart, Kirkland & Ellis 등의 유명 브랜드가 있습니다.

해커는 직원 계정을 탈취하고 Cyberhaven 확장 프로그램의 악성 버전(24.10.4)을 배포했습니다. 이 버전에는 공격자 도메인(cyberhavenext[.]pro)의 인증된 세션과 쿠키를 훔칠 수 있는 코드가 포함되어 있습니다.

Cyberhaven은 고객에게 보낸 이메일에서 자사의 내부 보안팀이 해당 맬웨어 패키지를 감지한 지 1시간 이내에 제거했다고 밝혔습니다.

해당 확장 프로그램의 클린 버전은 12월 26일에 출시된 v24.10.5입니다. Cyberhaven Chrome 확장 프로그램 사용자는 최신 버전으로 업그레이드하는 것 외에도 FIDOv2가 아닌 비밀번호를 해지하고, 모든 API 토큰을 변경하고, 브라우저 로그를 검토하여 악의적인 활동을 평가하는 것이 좋습니다.

많은 크롬 확장 프로그램이 해킹당했습니다.

Cyberhaven의 정보 공개에 따라 Nudge Security 연구원인 Jaime Blasco는 공격자의 IP 주소와 등록된 도메인 이름을 리디렉션하여 심층적인 조사를 수행했습니다.

Blasco에 따르면, 공격자로부터 명령을 받을 수 있도록 하는 악성 코드는 다른 Chrome 확장 프로그램에도 동시에 주입되었습니다.

• Internxt VPN – 안전한 웹 브라우징을 위한 무료, 암호화, 무제한 VPN입니다. (10,000명의 사용자)
• VPNCity – 256비트 AES 암호화와 글로벌 서버 커버리지를 갖춘 개인정보 보호 중심 VPN입니다. (50,000명의 사용자)
• Uvoice – 설문조사를 통해 포인트를 적립하고 PC 사용 데이터를 제공하는 보상형 서비스입니다. (40,000명의 사용자)
• ParrotTalks – 원활한 텍스트 및 메모 작성을 전문으로 하는 정보 검색 엔진입니다. (40,000명의 사용자)
• 블라스코는 다른 잠재적 피해자를 가리키는 여러 도메인을 발견했지만, 지금까지 악성 코드가 포함된 것으로 확인된 확장자는 위의 확장자뿐입니다.

이러한 확장 프로그램을 사용하는 사용자는 게시자가 보안 문제를 인지하고 수정했는지 확인한 후, 브라우저에서 즉시 해당 확장 프로그램을 제거하거나 12월 26일 이후에 출시된 보안 버전으로 업그레이드하는 것이 좋습니다.

확실하지 않은 경우 확장 프로그램을 제거하고, 중요한 계정 비밀번호를 재설정하고, 브라우저 데이터를 지우고, 브라우저 설정을 공장 기본값으로 재설정하는 것이 가장 좋습니다.