Estensioni Browser Malevole: Browser Extensions (T1176.001)

In un esercizio red team, la simulazione di T1176.001 richiede attenzione sia alla catena di consegna sia al payload dell'estensione stessa. La struttura minimale di un'estensione Chrome è un file manifest.json con permessi come "<all_urls>", "cookies", "webRequest" e "storage", accompagnato da uno script background che intercetta traffico e DOM.

Per un test in laboratorio, il primo passo consiste nel creare un'estensione unpacked con i permessi minimi necessari alla dimostrazione. In Chrome/Edge, il caricamento manuale avviene tramite chrome://extensions con la modalità sviluppatore attiva. Per simulare invece l'installazione silenziosa via manipolazione dei file di configurazione — scenario post-compromise — occorre operare a browser chiuso sul file:

%LOCALAPPDATA%\Google\Chrome\User Data\Default\Secure Preferences

Gli attaccanti aggiungono qui l'entry dell'estensione con hash MAC ricalcolato. Tool come Chromium Extension Poisoning PoC (open source) presenti su GitHub mostrano la procedura di ricalcolo dell'HMAC richiesto da Chrome per validare le modifiche.

Su macOS, per versioni antecedenti a Big Sur si può testare il comando:

sudo profiles install -path=/tmp/malicious.mobileconfig

Dalle versioni successive il comando richiede approvazione GUI, quindi la simulazione va documentata come richiesta di interazione utente.

Per la fase di consegna, tecniche di social engineering replicabili includono la creazione di landing page che imitano estensioni legittime (adblocker, tool di produttività) e phishing mirato che spinge la vittima verso lo store del browser. Framework come Evilginx2 (open source) possono essere combinati per catturare credenziali e successivamente pushare un link di installazione.

Per il payload di post-exploitation, un'estensione può iniettare JavaScript arbitrario in ogni pagina tramite content_scripts, esfiltrando dati via fetch() verso un C2. In laboratorio, strumenti come BeEF (open source) offrono un framework di hooking browser che può essere integrato per dimostrare l'impatto: intercettazione form, screenshot DOM, keylogging.

La validazione finale del red team deve dimostrare persistenza attraverso riavvii del sistema e resistenza alla disinstallazione manuale — molte estensioni malevole reali reinstallano sé stesse tramite modifica ripetuta dei Preferences. Documentare l'intera catena serve al blue team per costruire regole di detection efficaci.

La detection di T1176.001 richiede un approccio stratificato che combini monitoraggio del filesystem, telemetria di processo e analisi del traffico di rete. Sulla base della detection DET0044 e delle analytics associate, il SOC deve concentrarsi su tre segnali primari: creazione di nuove estensioni, modifiche ai file di configurazione dei browser e comportamento anomalo dei processi browser dopo l'installazione.

Su Windows, la sorgente principale è Sysmon con configurazione orientata al monitoraggio di EventID 11 (FileCreate) e EventID 13 (RegistryValueSet) sui path critici. Le directory da sorvegliare includono:

• *%LOCALAPPDATA%\Google\Chrome\User Data\Default\Extensions*
• *%LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Extensions*
• *%APPDATA%\Mozilla\Firefox\Profiles*\extensions*

Particolare attenzione va data alle modifiche dei file Preferences e Secure Preferences quando il processo browser non è attivo — pattern anomalo che suggerisce manipolazione offline. Correlare con EventID 1 (ProcessCreate) per identificare quale processo ha scritto sul file: se non è il browser stesso, l'alert va escalato immediatamente.

Su macOS, il unified log offre visibilità sui subsystem com.apple.ManagedClient e com.apple.configurationprofiles. Query mirate con log show --predicate possono estrarre eventi di installazione di .mobileconfig. La comparsa di plist inaspettati in ~/Library/Application Support/Google/Chrome/Default/Preferences rappresenta un IoC forte.

Su Linux, auditd con regole sui path ~/.config/google-chrome/Default/Extensions/ combinato con telemetria di flusso NSM (Zeek, Suricata) permette di correlare installazione e traffico anomalo.

Dal punto di vista comportamentale, gli indicatori più affidabili sono connessioni in uscita dal processo browser verso domini a bassa reputazione subito dopo modifiche al profilo estensioni, richieste DNS verso domini appena registrati generate dal browser in idle, e traffico verso endpoint update.googleapis.com sostituito o affiancato da server terzi. Un'analytics efficace correla l'EventID 3 di Sysmon (NetworkConnect) con la timestamp di modifica dell'estensione entro una finestra di 5 minuti.

I falsi positivi più comuni derivano da: installazione legittima di estensioni aziendali via GPO, aggiornamenti automatici del browser store, browser portable o custom con path non standard, e sviluppatori che caricano estensioni unpacked. Il tuning richiede whitelist degli extension ID approvati dall'organizzazione, distinta per contesto utente (utenti privilegiati vs standard). L'integrazione con Microsoft Defender for Endpoint o CrowdStrike Falcon (a pagamento) fornisce visibilità aggiuntiva sui process tree, mentre Wazuh (open source) offre un'alternativa gratuita per il monitoraggio dei file critici.

L'analisi forense di un incidente T1176.001 ruota attorno a quattro categorie di artefatti: file di configurazione del browser, directory delle estensioni installate, artefatti di rete residui e tracce di esecuzione del processo browser. La ricostruzione della timeline parte dai timestamp dei file di configurazione critici.

Su Windows, il file Secure Preferences in %LOCALAPPDATA%\Google\Chrome\User Data\Default* contiene la lista completa delle estensioni installate con relativo hash HMAC. Una modifica del timestamp NTFS $STANDARD_INFORMATION non coerente con $FILE_NAME è un indicatore di timestomping. L'analisi con MFTECmd (open source) di Eric Zimmerman permette di estrarre i metadati e confrontarli con l'evidenza registrata in UsnJrnl ($J*) per ricostruire la sequenza di modifiche.

Ogni estensione installata risiede in una sottocartella con nome corrispondente al suo Extension ID (32 caratteri alfanumerici). All'interno si trovano il manifest.json — fondamentale per valutare i permessi richiesti — e i file JavaScript del content script e background. Il campo permissions del manifest rivela le intenzioni: permessi come <all_urls>, cookies, webRequest, nativeMessaging combinati suggeriscono capacità di stealer o C2.

Su macOS, i profili di configurazione installati via .mobileconfig lasciano traccia in /Library/Managed Preferences/ e /var/db/ConfigurationProfiles/Store/. Il comando profiles list eseguito in analisi live enumera i profili attivi. Il unified log archivia gli eventi di installazione consultabili con log show --predicate 'subsystem == "com.apple.ManagedClient"' --last 30d.

Su Linux, la directory ~/.config/google-chrome/Default/Extensions/ replica la struttura Windows. I bash history e i log auditd permettono di ricostruire eventuali comandi di installazione via script.

Per il traffico di rete, i log DNS del sistema (*%SystemRoot%\System32\config* per Windows via DNS Client cache, o journalctl per systemd-resolved) e le cache di connessione TCP permettono di identificare i C2 contattati. Il file History di Chrome — un database SQLite — contiene la tabella visits con timestamp precisi delle navigazioni indotte dall'estensione, analizzabile con DB Browser for SQLite (open source).

Casi noti come Grandoreiro e Mispadu mostrano pattern ricorrenti: estensioni che si mascherano da tool di sicurezza bancaria, comunicazione con C2 via HTTPS su porte standard, e uso di domini a rotazione. TRANSLATEXT, associato a Kimsuky, ha capacità di screenshot e cattura credenziali/cookie, lasciando in cache di rete tracce di POST verso endpoint di raccolta. La ricostruzione della timeline deve correlare: primo accesso al vettore di consegna, timestamp di modifica Secure Preferences, prima esecuzione del browser post-installazione e prima connessione anomala.

L'ecosistema di attori che abusa delle estensioni browser è dominato da due categorie principali: gruppi APT statuali orientati allo spionaggio e famiglie di malware criminale focalizzate sul furto finanziario. La convergenza tecnica tra questi due mondi rende T1176.001 una tecnica trasversale con impatto strategico.

Kimsuky (G0094), gruppo di threat actor nordcoreano attivo nello spionaggio contro obiettivi sudcoreani, statunitensi e giapponesi con focus su think tank, ricerca su politica estera e settore energetico, ha adottato estensioni Chrome malevole per infettare le vittime e sottrarre password e cookie. L'utilizzo di estensioni si integra nelle loro operazioni long-term dove la persistenza silenziosa e la raccolta continua di credenziali di posta e social sono più preziose di un accesso rumoroso. Il malware TRANSLATEXT (S1201), attribuito al gruppo, incarna questa strategia: cattura credenziali, cookie e screenshot del browser, esfiltrando i dati verso infrastruttura controllata.

Sul fronte criminale, il panorama latinoamericano è dominato da Grandoreiro (S0531) e Mispadu (S1122), banking trojan che colpiscono principalmente Brasile, Messico, Spagna e Portogallo. Grandoreiro utilizza estensioni per rubare cookie e informazioni utente, mentre Mispadu sfrutta estensioni Chrome malevole per intercettare dati finanziari direttamente dai portali di home banking. Il pattern operativo è distinto da quello APT: catene di consegna via phishing massivo, monetizzazione rapida, minore attenzione all'OpSec ma alta scala.

Lumma Stealer (S1213) rappresenta l'evoluzione commerciale del modello: distribuito come malware-as-a-service, installa un'estensione malevola mirata a Google Chrome, Microsoft Edge, Opera e Brave per estrarre dati. La multi-browser coverage riflette la commoditizzazione del tooling e la volontà di massimizzare il return per gli affiliati.

Nel mondo macOS, OSX/Shlayer (S0402) e Bundlore (S0482) mostrano un modello meno sofisticato ma prolifico: installazione di estensioni Safari per adware, hijack delle ricerche e SEO malevolo. Sebbene meno impattanti sul piano dello spionaggio, alimentano ecosistemi affiliate che possono essere riutilizzati per payload più aggressivi.

Il trend emergente vede una progressiva convergenza tra tecniche: attori criminali che adottano manipolazione dei Secure Preferences (tradizionalmente APT-grade), e gruppi statuali che riutilizzano codebase stealer commerciali per operazioni deniable. Per un CTI officer, il monitoraggio degli Extension ID nei feed di threat intelligence, l'analisi dei manifest.json in campionamenti dallo store, e il tracking dei domini di update abusati sono elementi essenziali. La priorità di intelligence si concentra sui settori finance, government e defense contractor, dove l'accesso persistente al browser equivale a compromesso della supply chain informativa.

MITRE ATT&CK: T1176.001 (Browser Extensions), TA0003 (Persistence). Gruppi: G0094. Software: S0402, S0482, S0531, S1122, S1201, S1213. Mitigazioni: M1017, M1033, M1038, M1047, M1051. Detection: DET0044 con analytics AN0123-AN0125. Framework MITRE D3FEND per mapping difensivo. Il documento integra conoscenza professionale verificata di cybersecurity per comandi operativi, path filesystem, tool open source (Sysmon, MFTECmd, Wazuh, BeEF, Evilginx2) e procedure forensi standard di settore.