Una campaña maliciosa denominada «The Red Direction Campaign» ha sido revelada por la empresa Koi Security. Esta operación utilizó una extensión llamada «Color Picker, Eyedropper — Geco colorpick» como parte de su estrategia para infectar a usuarios. Los investigadores identificaron que el ataque involucró 18 extensiones maliciosas subidas a las tiendas de Chrome y Edge, afectando a más de 2,3 millones de usuarios.
Las extensiones se distribuyeron en varias categorías, incluyendo VPN, pronósticos meteorológicos y contenido relacionado con YouTube. Algunas de ellas alcanzaron el estado verificado o fueron promovidas como «extensiones destacadas» tanto en la tienda web de Chrome como en Microsoft Edge. Cada una de estas extensiones tenía su propio subdominio de comando y control, lo que permitió a los atacantes enmascarar la operación dentro de una infraestructura centralizada.
Las extensiones se activaban cada vez que los usuarios navegaban a una página nueva. Un servicio oculto monitoreaba toda la actividad de las pestañas y capturaba la URL, enviándola a un servidor remoto con un ID de seguimiento único. El servidor luego envía una URL de redirección desde el Centro de Comando y Control, lo que provocaba que el navegador redirigiera al usuario a una página web maliciosa controlada por los atacantes. En este proceso, el usuario no tenía que hacer clic en nada malicioso ni se llevó a cabo un phishing.
La campaña de RedDirection expone fallas sistémicas en la seguridad del mercado que trascienden las extensiones individuales:
- Verificación a escala: el proceso de verificación de Google y Microsoft no detectó malware sofisticado en dieciocho extensiones diferentes, incluso destacando algunas.
- La adquisición de la cadena de suministro: los atacantes demostraron cómo pueden comprometer el ecosistema de extensión al crear nuevas extensiones maliciosas o alterar extensiones válidas.
- Armamento de las «señales de confianza»: los atacantes explotaron con éxito todas las señales de confianza en las que los usuarios confían: insignias de verificación, recuentos de instalación, colocación destacada, años de operación legítima y revisiones positivas. Convirtieron los mecanismos de credibilidad de las plataformas en armas contra los usuarios.
Chrome
- Chrome:kgmeffmlnkfnjpgmdndccklfigfhajen — [Emoji keyboard online — copy&past your emoji.]
- dpdibkjjgbaadnnjhkmmnenkmbnhpobj — [Free Weather Forecast]
- gaiceihehajjahakcglkhmdbbdclbnlf — [Video Speed Controller — Video manager]
- mlgbkfnjdmaoldgagamcnommbbnhfnhf — [Unlock Discord — VPN Proxy to Unblock Discord Anywhere]
- eckokfcjbjbgjifpcbdmengnabecdakp — [Dark Theme — Dark Reader for Chrome]
- mgbhdehiapbjamfgekfpebmhmnmcmemg — [Volume Max — Ultimate Sound Booster]
- cbajickflblmpjodnjoldpiicfmecmif — [Unblock TikTok — Seamless Access with One-Click Proxy]
- pdbfcnhlobhoahcamoefbfodpmklgmjm — [Unlock YouTube VPN]
- eokjikchkppnkdipbiggnmlkahcdkikp — [Color Picker, Eyedropper — Geco colorpick]
- ihbiedpeaicgipncdnnkikeehnjiddck — [Weather]
Edge
- Edge:jjdajogomggcjifnjgkpghcijgkbcjdi — [Unlock TikTok]
- mmcnmppeeghenglmidpmjkaiamcacmgm — [Volume Booster — Increase your sound]
- ojdkklpgpacpicaobnhankbalkkgaafp — [Web Sound Equalizer]
- lodeighbngipjjedfelnboplhgediclp — [Header Value]
- hkjagicdaogfgdifaklcgajmgefjllmd — [Flash Player — games emulator]
- gflkbgebojohihfnnplhbdakoipdbpdm — [Youtube Unblocked]
- kpilmncnoafddjpnbhepaiilgkdcieaf — [SearchGPT — ChatGPT for Search Engine]
- caibdnkmpnjhjdfnomfhijhmebigcelo — [Unlock Discord]