Los intentos de hacerse con nuestros datos por parte de los ciberdelincuentes que operan en internet nos pueden llegar de múltiples formas. Recientemente se ha descubierto una extensión maliciosa que se instala en Google Chrome y que afecta a nuestro correo electrónico.
Os contamos todo esto porque en estos instantes un grupo de atacantes denominado como Kimsuky está utilizando este método que os comentamos. Para llegar hasta nuestros equipos utilizan una extensión de navegador maliciosa que se encarga de robar los correos electrónicos de los s de Google Chrome o Edge. En concreto una vez instalada capacita a estos atacantes a leer nuestros mensajes webmail.
Una vez sabemos de qué se trata, debemos tener presente que la extensión se llama Sharpext y la detectaron unos investigadores de Volexity. Decir que es compatible con tres navegadores web basados en el motor Chromium: Chrome, Edge y Whale. A su vez Está capacitada para robar nuestro correo de las cuentas de Gmail y AOL. Una vez se ha instalado la extensión maliciosa, compromete el sistema utilizando un script VBS personalizado. Aquí se sustituyen los archivos Preferences y Secure Preferences por otros descargados desde el servidor de control del malware.
Una vez descargados los nuevos archivos que os comentamos en el equipo infectado, el navegador web carga automáticamente la extensión Sharpext . A continuación, el malware analiza y filtra directamente los datos de la cuenta de correo web de la víctima mientras nos movemos por la misma. De hecho, podemos afirmar que con el tiempo la extensión ha evolucionado y actualmente se encuentra en la versión 3.0.
Sharpext , la extensión de Chrome que roba tu correo
A todo lo comentado le podemos sumar que debido aquí la extensión aprovecha la sesión ya iniciada para robar correos electrónicos, el ataque pasa desapercibido. Todo ello es algo que se hace extensible tanto para el propio proveedor de correo como para la víctima. En resumidas cuentas, su modo de funcionamiento hace que su detección sea muy difícil, casi imposible. Al mismo tiempo es importante saber que el flujo de trabajo de la extensión no activará ninguna alerta de actividad sospechosa en las cuentas de correo.
extensión de Chrome se encarga de listar los correos recopilados de la víctima para que no se carguen duplicados.
Asimismo, escanea los dominios con los que nos hemos comunicado previamente y se crea una lista negra de remitentes que deben ignorarse al recopilar estos correos. Por otro lado, el ataque añade un nuevo dominio a la lista de los correos ya vistos y carga un nuevo archivo adjunto en el servidor remoto. Hay que comentar que esta no es la primera vez que este grupo norcoreano utiliza extensiones de navegador para recoger y extraer datos confidenciales de los sistemas vulnerados, por lo que ya tiene experiencia.
Cómo evitar la instalación de extensiones maliciosas en Chrome
Son varias las medidas que podemos tomar para asegurarnos de que no instalamos extensiones maliciosas en el navegador de Google. Lo primero es utilizar la tienda oficial de Chrome para sí tener menos posibilidades de instalar software no deseado. Una vez dentro de la propia tienda también deberíamos echar un vistazo, antes de instalar la extensión en cuestión, a los comentarios de otros s o al número de descargas e instalaciones de las que dispone.
Los comentarios nos ayudarán a saber si se ha detectado algún tipo de uso malintencionado del software, al tiempo que no es recomendable instalar extensiones con muy pocas descargas.
