Wprowadzenie do problemu / definicja
PEEP to zaawansowany framework post-exploitation zaprojektowany z myślą o przeglądarkach opartych na Chromium, przede wszystkim Google Chrome i Microsoft Edge. Jego zadaniem nie jest uzyskanie początkowego dostępu do systemu, lecz utrwalenie obecności napastnika na już przejętej stacji roboczej poprzez osadzenie złośliwego komponentu w profilu przeglądarki.
W praktyce oznacza to wykorzystanie legalnego procesu przeglądarki jako nośnika trwałości, kanału komunikacji z serwerem dowodzenia oraz narzędzia do kradzieży danych i wykonywania poleceń. To podejście zwiększa skuteczność ukrywania aktywności atakującego, ponieważ część operacji odbywa się w zaufanym środowisku użytkownika.
W skrócie
PEEP podszywa się pod pozornie nieszkodliwe rozszerzenie zakładek i instaluje się poza oficjalnym sklepem dodatków. Malware modyfikuje mechanizmy integralności konfiguracji Chromium, aby automatycznie aktywować złośliwy moduł bez wzbudzania podejrzeń użytkownika.
Po aktywacji narzędzie cyklicznie łączy się z infrastrukturą C2, zbiera historię przeglądania, metadane kart, adresy URL oraz ciasteczka sesyjne. Kluczowym elementem działania jest wykorzystanie mechanizmu Native Messaging Host, który pozwala przekroczyć ograniczenia sandboxa przeglądarki i uruchamiać zadania bezpośrednio na hoście.
Kontekst / historia
Według analizy badaczy PEEP został zbudowany na bazie RedExt, otwartoźródłowego projektu wykorzystywanego do analiz danych przeglądarkowych i ćwiczeń red teamowych. Nowy zestaw rozwija jednak tę koncepcję o kompletne procedury wdrożeniowe, aktualizacje, beaconing, telemetrię oraz most natywny do systemu operacyjnego.
To istotna różnica, ponieważ PEEP nie przypomina prostego stealera przeglądarkowego. Jest to raczej pełnoprawne narzędzie utrzymywania dostępu po kompromitacji, którego wartość dla operatora polega na trwałości, elastyczności i możliwości prowadzenia dalszych działań z poziomu przeglądarki.
Badacze podkreślają również, że framework nie zawiera własnego wektora initial access. Oznacza to, że atakujący musi wcześniej uzyskać możliwość wykonania kodu lub odpowiednie uprawnienia na hoście, a dopiero później wdrożyć PEEP jako kolejny etap operacji.
Analiza techniczna
Rdzeń narzędzia stanowi złośliwe rozszerzenie podszywające się pod komponent typu „Smart Bookmarks”. Dodatek prowadzi cykliczny beaconing do serwera dowodzenia, odbiera zadania i równolegle eksfiltruje dane przeglądarkowe, takie jak historia, otwarte karty, aktywny adres URL, ustawienia lokalizacyjne i cookies sesyjne.
Najgroźniejszym elementem architektury jest użycie binarki Native Messaging Host oznaczonej jako nm_host.exe. Mechanizm Native Messaging jest legalną funkcją Chromium służącą do komunikacji rozszerzeń z lokalną aplikacją, jednak w tym scenariuszu staje się pomostem między kodem przeglądarki a systemem operacyjnym.
Dzięki temu PEEP może wykonywać polecenia powłoki, zarządzać plikami, identyfikować procesy i usługi oraz realizować działania wykraczające poza standardowe możliwości dodatku przeglądarkowego. Taka architektura sprawia, że przeglądarka staje się praktycznym punktem wykonawczym dla dalszej aktywności po kompromitacji.
W warstwie trwałości malware modyfikuje plik Secure Preferences odpowiedzialny w ekosystemie Chromium między innymi za integralność konfiguracji użytkownika. Fałszowanie wartości integralności pozwala obejść kontrolę aktywacji rozszerzeń i automatycznie uruchamiać złośliwy komponent przy starcie przeglądarki.
Dodatkowo wykorzystywane są polityki wymuszające instalację rozszerzeń, techniki sideloadingu oraz mechanizmy ponownej rejestracji dodatku. W kampanii zaobserwowano również skrypty PowerShell wspierające wdrożenie, w tym włączanie trybu deweloperskiego, poprawianie pliku Secure Preferences i odtwarzanie rejestracji rozszerzenia.
Zidentyfikowano także skrypt dla Linuksa służący do analogicznej manipulacji preferencjami, co może wskazywać na rozwój kompatybilności międzyplatformowej. Po uruchomieniu rozszerzenie ładuje konfigurację C2, inicjalizuje automatyczne zbieranie danych i uruchamia skrypt treści osadzany w odwiedzanych stronach.
Taki model umożliwia wykonywanie działań związanych z przeglądarką, takich jak iniekcja JavaScript, dostęp do schowka czy zbieranie informacji o sesji, a jednocześnie delegowanie poleceń systemowych do komponentu natywnego.
Konsekwencje / ryzyko
PEEP znacząco zwiększa poziom ryzyka po skutecznej kompromitacji stacji roboczej. Przejęta przeglądarka staje się trwałym punktem dostępu działającym w zaufanym i powszechnie używanym procesie, co może utrudniać wykrycie wyłącznie na podstawie klasycznych wskaźników kompromitacji.
Szczególnie niebezpieczna jest możliwość kradzieży aktywnych sesji i danych uwierzytelniających zapisanych lub używanych w przeglądarce. W praktyce może to prowadzić do przejmowania kont SaaS, paneli administracyjnych, zasobów chmurowych i aplikacji biznesowych bez konieczności łamania haseł.
Zdolność do wykonywania poleceń systemowych poprzez Native Messaging oznacza również, że przeglądarka może zostać wykorzystana jako punkt pivotu do dalszego rekonesansu, utrzymania dostępu i manipulowania aktywnością użytkownika. To rozszerza zakres zagrożenia z poziomu kradzieży danych do pełniejszej kontroli nad hostem.
Rekomendacje
Organizacje powinny traktować przeglądarki Chromium jako ważny obszar monitorowania w ramach EDR, DFIR i threat huntingu. Szczególną uwagę warto poświęcić zmianom w katalogach profili Chrome i Edge, zwłaszcza plikom Preferences, Secure Preferences, ScriptCache oraz lokalizacjom związanym z rozszerzeniami.
- monitorowanie niestandardowych rozszerzeń instalowanych poza oficjalnymi kanałami,
- alertowanie na zmiany w kluczach rejestru odpowiedzialnych za zewnętrzne rozszerzenia,
- kontrolę użycia polityk wymuszających instalację dodatków poza standardowym procesem administracyjnym,
- wykrywanie rejestracji lub uruchamiania Native Messaging Host bez uzasadnionego kontekstu biznesowego,
- analizę nietypowej aktywności PowerShell związanej z profilami przeglądarek,
- monitorowanie połączeń HTTP wykonywanych przez procesy przeglądarki do nieznanej infrastruktury.
Z perspektywy hardeningu warto ograniczyć lokalny sideloading rozszerzeń, monitorować użycie trybu deweloperskiego i egzekwować polityki dopuszczające wyłącznie zatwierdzone dodatki. Dobrym uzupełnieniem jest okresowy przegląd zainstalowanych rozszerzeń, walidacja manifestów oraz kontrola binariów zarejestrowanych jako hosty Native Messaging.
W środowiskach podwyższonego ryzyka zalecana jest także segmentacja sesji administracyjnych i uprzywilejowanych. Krytyczne logowania nie powinny odbywać się z tych samych profili przeglądarki, które są używane do codziennej pracy, ponieważ ogranicza to skutki przejęcia ciasteczek sesyjnych.
Podsumowanie
PEEP pokazuje, że nowoczesna przeglądarka może zostać przekształcona z narzędzia użytkownika w trwały komponent dostępu po kompromitacji. O sile tego podejścia decyduje nie tylko kradzież danych przeglądarkowych, ale również nadużycie legalnych mechanizmów Chromium do utrzymania trwałości, obejścia ochrony i wykonywania komend na hoście.
Dla zespołów bezpieczeństwa oznacza to konieczność rozszerzenia detekcji o telemetrykę związaną z rozszerzeniami, plikami preferencji i mostami Native Messaging. Każde odstępstwo od standardowego modelu wdrażania dodatków do Chrome i Edge powinno być analizowane jak potencjalny incydent bezpieczeństwa.