Extension Trojan Malware: een groeiende bedreiging voor Google Chrome- en Microsoft Edge-gebruikers
Er is een nieuwe golf van malware gedetecteerd die gebruikers van Google Chrome en Microsoft Edge target door valse browserextensies te installeren via een trojan die via nepwebsites wordt verspreid. Deze campagne, die sinds 2021 actief is, maakt gebruik van imitatiewebsites die zich voordoen als populaire softwaredownloadpagina's om nietsvermoedende gebruikers te misleiden tot het downloaden van schadelijke installatieprogramma's.
Table of Contents
Het dreigingslandschap
De malware, die voor het eerst door ReasonLabs werd geïdentificeerd, varieert van relatief eenvoudige adware-extensies die zoekresultaten kapen tot geavanceerdere scripts die privégegevens kunnen stelen en ongeautoriseerde opdrachten op geïnfecteerde systemen kunnen uitvoeren. De trojan heeft al meer dan 300.000 gebruikers getroffen, wat de wijdverbreide impact van deze campagne benadrukt.
De kern van deze dreiging is het gebruik van malvertising, waarbij aanvallers vergelijkbare websites maken die bekende software promoten, zoals Roblox FPS Unlocker, YouTube, VLC media player, Steam en KeePass. Gebruikers die naar deze programma's zoeken, kunnen worden verleid tot het downloaden van een trojan die dient als kanaal voor het installeren van schadelijke browserextensies.
Eenmaal geïnstalleerd, registreren deze digitaal ondertekende kwaadaardige installatieprogramma's een geplande taak op het systeem van het slachtoffer, wat een PowerShell-script activeert om extra payloads te downloaden en uit te voeren vanaf een externe server. Deze payloads omvatten wijzigingen in het Windows-register, waardoor de installatie van extensies van de Chrome Web Store en Microsoft Edge Add-ons wordt afgedwongen. Deze extensies worden vervolgens gebruikt om zoekopdrachten op Google en Microsoft Bing te kapen en ze om te leiden via door aanvallers gecontroleerde servers.
Hoe de malware werkt
De kwaadaardige extensies die door deze trojan worden geïnstalleerd, kunnen niet eenvoudig door gebruikers worden verwijderd, zelfs niet als de ontwikkelaarsmodus is ingeschakeld. Recente versies van het script zijn nog gevaarlijker geworden door het verwijderen van browserupdates, waardoor de malware zich verder op geïnfecteerde systemen nestelt.
Daarnaast wordt een lokale extensie gelanceerd vanaf een command-and-control (C2) server, uitgerust met uitgebreide mogelijkheden. Het onderschept alle webverzoeken, stuurt ze naar de server, ontvangt opdrachten en gecodeerde scripts en injecteert schadelijke code in webpagina's. De malware kaapt ook zoekopdrachten van populaire zoekmachines zoals Ask.com, Bing en Google, en stuurt ze door via de servers voordat ze worden omgeleid naar andere zoekmachines.
Hoe verwijder je de Extension Trojan-malware
Als u vermoedt dat uw systeem is gecompromitteerd door deze malware, is het cruciaal om onmiddellijk actie te ondernemen om de schade te beperken. Volg deze stappen om de malware te verwijderen en uw systeem te herstellen:
- Verwijder de geplande taak: Zoek en verwijder de geplande taak die de malware dagelijks opnieuw activeert.
- Registersleutels verwijderen: Ga naar het Windows-register en verwijder alle sleutels die aan de malware zijn gekoppeld.
- Verwijder schadelijke bestanden en mappen: verwijder de volgende bestanden en mappen van uw systeem:
-
C:\Windows\system32\Privacyblockerwindows.ps1 -
C:\Windows\system32\Windowsupdater1.ps1 -
C:\Windows\system32\WindowsUpdater1Script.ps1 -
C:\Windows\system32\Optimizerwindows.ps1 -
C:\Windows\system32\Printworkflowservice.ps1 -
C:\Windows\system32\NvWinSearchOptimizer.ps1(versie 2024) -
C:\Windows\system32\kondserp_optimizer.ps1(versie mei 2024) -
C:\Windows\InternalKernelGrid -
C:\Windows\InternalKernelGrid3 -
C:\Windows\InternalKernelGrid4 -
C:\Windows\ShellServiceLog -
C:\windows\privacyprotectorlog -
C:\Windows\NvOptimizerLog
-
Door deze stappen te volgen, kunt u de malware verwijderen en verdere schade aan uw systeem voorkomen. Het is echter ook aan te raden om een betrouwbaar antivirusprogramma te installeren en regelmatig bij te werken om uzelf te beschermen tegen toekomstige bedreigingen.
Deze voortdurende malwarecampagne dient als herinnering aan de evoluerende bedreigingen in de digitale wereld. Door waakzaam en voorzichtig te blijven, vooral bij het downloaden van software van onbekende bronnen, kunnen gebruikers hun systemen beschermen tegen deze gevaarlijke trojans. Controleer altijd de authenticiteit van websites en downloads en houd uw beveiligingssoftware up-to-date om uzelf te verdedigen tegen de nieuwste bedreigingen.
