Wprowadzenie do problemu / definicja
PEEP to zaawansowany zestaw narzędzi post-exploitation ukierunkowany na przeglądarki oparte na Chromium, przede wszystkim Google Chrome i Microsoft Edge. Nie służy on do uzyskiwania pierwszego dostępu do środowiska, lecz aktywuje się po wcześniejszej kompromitacji systemu i wykorzystuje przeglądarkę jako trwały kanał komunikacji, eksfiltracji danych oraz wykonywania poleceń.
Kluczowym elementem działania PEEP jest złośliwe rozszerzenie podszywające się pod legalny komponent przeglądarki. Dzięki temu zagrożenie działa w zaufanym procesie użytkownika, co utrudnia jego wykrycie i zwiększa skuteczność przejmowania sesji, danych przeglądarkowych oraz kontroli nad hostem.
W skrócie
- PEEP to framework działający po kompromitacji systemu, a nie narzędzie do początkowego włamania.
- Złośliwe rozszerzenie „Smart Bookmarks” jest osadzane bezpośrednio w profilach Chrome i Edge.
- Malware wykrada historię przeglądania, pliki cookie, dane sesyjne i metadane aktywności użytkownika.
- Mechanizm Native Messaging umożliwia wykonywanie poleceń systemowych poza sandboxem przeglądarki.
- Zagrożenie wykorzystuje wiele metod utrwalenia, w tym modyfikacje profili, polityk i rejestru.
Kontekst / historia
Analiza wskazuje, że PEEP bazuje na otwartoźródłowym frameworku RedExt, pierwotnie przeznaczonym do analiz danych przeglądarkowych i zastosowań red teamowych. W złośliwej wersji rozwiązanie zostało rozbudowane o gotowy łańcuch instalacyjny, regularną telemetrię, funkcję aktualizacji, komponent natywny oraz zestaw komend operacyjnych typowych dla dojrzałego malware.
To dobry przykład szerszego trendu, w którym legalne mechanizmy administracyjne i funkcje przeglądarki są adaptowane do działań ofensywnych. W praktyce oznacza to odejście od prostych loaderów na rzecz nadużywania wbudowanych funkcji systemu i aplikacji, co utrudnia wykrywanie przez klasyczne rozwiązania ochronne.
Analiza techniczna
Sercem PEEP jest złośliwe rozszerzenie Chromium utrzymujące cykliczną komunikację z serwerem dowodzenia i kontroli. Mechanizm beaconingu działa regularnie, pobiera zadania od operatora, zbiera dane z przeglądarki i zwraca wyniki wykonania. W efekcie przeglądarka staje się interaktywnym agentem działającym w kontekście zalogowanego użytkownika.
Zakres gromadzonych danych obejmuje historię przeglądania, aktywne adresy URL, informacje o kartach, ustawienia regionalne, strefę czasową oraz sesyjne pliki cookie. Taki zestaw informacji pozwala nie tylko profilować ofiarę, ale również wspiera przejmowanie aktywnych sesji webowych, w tym dostępów do usług SaaS, poczty czy paneli administracyjnych.
Szczególnie istotną rolę odgrywa komponent natywny uruchamiany za pomocą mechanizmu Native Messaging. To on umożliwia wyjście poza środowisko przeglądarki i wykonywanie działań na poziomie systemu operacyjnego, takich jak uruchamianie poleceń, operacje na plikach czy rozpoznanie procesów i usług. Właśnie ten element sprawia, że PEEP należy traktować nie jako zwykłe złośliwe rozszerzenie, lecz jako pełnoprawny backdoor.
W zakresie utrwalenia obecności malware korzysta z modyfikacji plików konfiguracyjnych profilu, w tym Secure Preferences, a także z technik sideloadingu, polityk wymuszonej instalacji rozszerzeń, wpisów rejestru użytkownika i zewnętrznych manifestów. Dodatkowo w łańcuchu instalacyjnym pojawiają się skrypty PowerShell odpowiadające za włączanie trybu deweloperskiego, obchodzenie mechanizmów integralności oraz ponowną rejestrację rozszerzenia po jego usunięciu.
Istotne znaczenie ma również architektura komunikacji z infrastrukturą C2. Oddzielne endpointy mogą odpowiadać za rejestrację agenta, heartbeat, odbiór poleceń, eksfiltrację danych i aktualizację komponentów. Z perspektywy operatora daje to możliwość utrzymywania stałej kontroli nad infekcją oraz dynamicznego rozszerzania możliwości narzędzia bez wdrażania nowego ładunku inną ścieżką.
Konsekwencje / ryzyko
Największe ryzyko związane z PEEP wynika z połączenia trzech cech: działania wewnątrz zaufanego procesu przeglądarki, dostępu do aktywnych artefaktów sesyjnych oraz możliwości wykonywania poleceń na hoście. Taka kombinacja umożliwia zarówno kradzież danych, jak i długotrwałą obecność przeciwnika na stacji roboczej.
W praktyce szczególnie narażone są konta dostępowe do systemów biznesowych, aplikacji chmurowych, skrzynek pocztowych i paneli administracyjnych obsługiwanych przez przeglądarkę. Przejęte cookies i dane sesyjne mogą wspierać session hijacking, a możliwość ingerencji w treść stron lub wykonywania skryptów otwiera drogę do dalszej kradzieży poświadczeń i manipulowania interakcjami użytkownika.
Dla zespołów SOC i DFIR wyzwaniem jest fakt, że istotna część aktywności realizowana jest przez podpisany i powszechnie używany proces przeglądarki. Oznacza to, że tradycyjne reguły wykrywania skupione na nowych plikach wykonywalnych lub standardowych loaderach mogą nie zapewniać wystarczającej widoczności.
Rekomendacje
Organizacje powinny traktować przeglądarki Chromium jako pełnoprawny element powierzchni ataku endpointu. Ochrona nie może ograniczać się do binariów i procesów systemowych, ale powinna obejmować również rozszerzenia, polityki instalacyjne oraz integralność plików konfiguracyjnych w profilach użytkowników.
- Wdrożyć listy dozwolonych rozszerzeń i blokować dodatki spoza autoryzowanych źródeł.
- Regularnie audytować ustawienia polityk instalacyjnych rozszerzeń oraz wpisy rejestru związane z zewnętrznymi dodatkami.
- Monitorować zmiany w plikach Preferences i Secure Preferences w profilach Chrome oraz Edge.
- Traktować nieoczekiwane włączenie trybu deweloperskiego jako sygnał ostrzegawczy.
- Wykrywać uruchamianie natywnych hostów przez przeglądarkę oraz nietypowe skrypty PowerShell ingerujące w profile Chromium.
- Korelować zdarzenia przeglądarkowe z aktywnością systemową i komunikacją do nieznanych endpointów.
W przypadku podejrzenia infekcji nie wystarczy samo usunięcie rozszerzenia. Konieczna jest pełna analiza profilu przeglądarki, polityk systemowych, artefaktów Native Messaging, wpisów rejestru oraz aktywnych sesji użytkownika. Równolegle należy unieważnić sesje webowe, wymusić ponowne logowanie i przeprowadzić rotację haseł do krytycznych usług.
Podsumowanie
PEEP pokazuje, że przeglądarka internetowa staje się coraz częściej pomostem między warstwą użytkownika a systemem operacyjnym. Połączenie złośliwego rozszerzenia, obejścia mechanizmów integralności Chromium i natywnego komponentu hosta daje atakującym trwały, trudny do wykrycia kanał dostępu o wysokiej wartości operacyjnej.
Dla obrońców to wyraźny sygnał, że bezpieczeństwo endpointów musi obejmować również telemetrykę i kontrolę bezpieczeństwa przeglądarek. W przeciwnym razie organizacja może przeoczyć zagrożenie działające w jednym z najbardziej zaufanych i najczęściej używanych procesów użytkownika.