T1176.001: 浏览器扩展

摘要

攻击者可能滥用互联网浏览器扩展来建立对受害者系统的持久访问。浏览器扩展或插件是可为互联网浏览器添加功能和自定义方面的小型程序。它们可以通过本地文件或自定义 URL 直接安装，也可以通过浏览器的应用商店安装——应用商店是一个官方在线平台，用户可以在其中浏览、安装和管理特定 Web 浏览器的扩展。扩展通常继承此前授予 Web 浏览器的权限。(Citation: Wikipedia Browser Extension)(Citation: Chrome Extensions Definition) 恶意扩展可以通过伪装成合法扩展的恶意应用商店下载、通过社会工程，或由已入侵系统的攻击者安装到浏览器中。浏览器应用商店的安全可能有限，因此恶意扩展击败自动扫描器可能并不困难。(Citation: Malicious Chrome Extension Numbers) 根据浏览器的不同，攻击者还可能操纵扩展的更新 URL 以从攻击者控制的服务器安装更新，或操纵移动配置文件以静默安装其他扩展。 攻击者可能通过修改或替换 Preferences 和/或 Secure Preferences 文件，来滥用基于 Chromium 的浏览器加载扩展的方式，以静默安装恶意扩展。当浏览器未运行时，攻击者可以修改这些文件，确保扩展被加载、被授予所需权限，并将持续存在于浏览器会话中。此方法不需要用户同意，扩展会从磁盘或浏览器的受信任商店在后台静默加载。(Citation: Pulsedive) 在 macOS 11 之前，攻击者可以使用 <code>profiles</code> 工具通过命令行静默安装浏览器扩展，以安装恶意的 <code>.mobileconfig</code> 文件。在 macOS 11+ 中，使用 <code>profiles</code> 工具不再能安装配置描述文件；但是，<code>.mobileconfig</code> 文件可以被植入，并在用户交互下安装。(Citation: xorrior chrome extensions macOS) 一旦扩展安装完成，它就可以在后台浏览网站、窃取用户在浏览器中输入的所有信息（包括凭据），并可用作 RAT 的安装程序以实现持久化。(Citation: Chrome Extension Crypto Miner)(Citation: ICEBRG Chrome Extensions)(Citation: Banker Google Chrome Extension Steals Creds)(Citation: Catch All Chrome Extension) 还有一些僵尸网络通过恶意 Chrome 扩展使用持久后门进行[命令与控制](https://attack.mitre.org/tactics/TA0011)的实例。(Citation: Stantinko Botnet)(Citation: Chrome Extension C2 Malware) 攻击者还可能使用浏览器扩展修改浏览器权限和组件、隐私设置及其他安全控制，以实现[隐蔽](https://attack.mitre.org/tactics/TA0005)。(Citation: Browers FriarFox)(Citation: Browser Adrozek)