Malware-Alert: Nigelthorn missbraucht Chrome Extensions für Datendiebstahl und Kryptomining

radware_logo

Forscher von Radware haben eine neue Malware-Kampagne entdeckt, die Social Engineering nutzt, um sich via manipulierter Chrome Extensions schnell über Facebook zu verbreiten. Die Malware infiziert die Systeme der Opfer, um ihre Social-Media-Anmeldeinformationen zu stehlen und Kryptomining-Code herunterzuladen. Sie ist seit mindestens März 2018 aktiv und hat bereits mehr als 100.000 Anwender weltweit infiziert.

Die Kampagnenbetreiber erstellten Kopien legitimer Chrome-Erweiterungen und injizierten ein kurzes, verschleiertes bösartiges Skript, um die Malware-Operation zu starten. Die Verschleierung erfolgt dabei vor allem, um die Überprüfung der Erweiterung durch Google zu umgehen. Insgesamt nutzen die Angreifer sieben verschiedene Erweiterungen; der größte Anteil entfällt dabei auf „Nigelify“. Diese legitime Chrome-App ersetzt Bilder durch das Gesicht der Cartoon-Figur Nigel Thornberry. In Anlehnung an diese Erweiterung bezeichnet Radware die neue Malware als Nigelthorn. Weitere genutzte Erweiterungen sind etwa PwnerLike und iHabno. Zumindest vier der sieben missbrauchten Extensions wurden bereits von Google entdeckt und blockiert.

Die Angriffskette beginnt damit, dass ein Opfer auf einen bösartigen Link klickt, der über Facebook gesendet wird. Der Link leitet die Opfer auf eine gefälschte YouTube-Seite um und fordert den Benutzer auf, eine Chrome-Erweiterung zum Abspielen des Videos zu installieren. Tut er dies, wird eine der sieben bösartigen Erweiterungen – meist Nigelify – die Malware auf seinem System installieren. Einmal ausgeführt, lädt das bösartige JavaScript eine erste Konfiguration vom Server des Angreifers herunter – einschließlich einer Reihe von Plugins für Facebook-Propagation zur weiteren Verbreitung an Kontakte des Opfers, Kryptomining-Code für Monero, Bytecoin und Electroneum sowie für YouTube-Klickbetrug. Schließlich versucht Nigelthorn noch, die Facebook- oder Instagram-Anmeldeinformationen des Opfers zu stehlen.

Details zu Nigelthorn und seiner Funktionsweise finden Sie im Radware Blog unter: https://blog.radware.com/security/2018/05/nigelthorn-malware-abuses-chrome-extensions/