GhostPoster-skadlig kod missbrukar Firefox-tillägg för att dölja skadlig kod

GhostPoster-malwarekampanjen har avslöjat ett nytt sätt för angripare att missbruka webbläsartillägg för att infektera användare i stor skala. Genom att dölja skadlig kod inuti ikoner för Firefox-tillägg lyckades hotaktörer kompromettera tiotusentals användare samtidigt som de undvek traditionella säkerhetskontroller.

Vad GhostPoster-malware är

GhostPoster är en smygande malwarekampanj som riktar in sig på Firefox-tillägg. I stället för att placera skadlig kod i tydliga skriptfiler bäddar angriparna in JavaScript direkt i PNG-bildfiler som används som tilläggsikoner.

Denna teknik gör det möjligt att kringgå många automatiserade granskningssystem och säkerhetsskannrar som främst fokuserar på JavaScript-källkod.

Hur attacken fungerar

GhostPoster använder steganografi för att dölja körbar kod i bilddata. När ett komprometterat tillägg laddas läser det sin egen ikonfil och extraherar den dolda nyttolasten.

Skadeprogrammet kör därefter den extraherade koden i webbläsarmiljön. Därifrån kontaktar det servrar som kontrolleras av angriparna för att hämta ytterligare komponenter.

Detta tillvägagångssätt gör att tillägget framstår som ofarligt vid installation, medan den skadliga funktionen aktiveras först efter driftsättning.

Typer av tillägg som användes

Angriparna spred GhostPoster via flera Firefox-tillägg som såg legitima ut. Dessa tillägg utgav sig för att vara vanliga verktyg, bland annat VPN-tjänster, annonsblockerare, översättare och produktivitetsverktyg.

Många användare installerade tilläggen eftersom de krävde få behörigheter och verkade pålitliga vid första anblick.

Vad GhostPoster kan göra

När GhostPoster väl är aktivt får angriparna betydande kontroll över den drabbade webbläsaren. Skadeprogrammet kan:

• Injicera spårningsskript i webbsidor
• Ändra eller ta bort säkerhetsrelaterade HTTP-rubriker
• Omdirigera affiliatelänkar till angriparkontrollerade konton
• Ladda ytterligare skadliga skript vid behov

Dessa funktioner gör det möjligt för angriparna att tjäna pengar på infektionerna samtidigt som webbläsarsäkerheten försvagas.

Varför tekniken är särskilt farlig

De flesta säkerhetsgranskningar av tillägg fokuserar på synlig källkod. Genom att gömma nyttolaster i bildfiler undviker GhostPoster detektionsmetoder som utgår från att bilder inte innehåller körbar kod.

Kampanjen visar hur angripare fortsätter att hitta blinda fläckar i tilläggsekosystem och utnyttjar användarnas förtroende för officiella tilläggsbutiker.

Hur användare kan minska risken

Användare kan minska sin exponering genom att begränsa antalet installerade tillägg och ta bort verktyg som inte längre behövs. Att granska tilläggsbehörigheter och undvika onödiga tillägg kan avsevärt minska angreppsytan.

Säkerhetsexperter rekommenderar också att vara uppmärksam på ovanligt webbläsarbeteende, såsom oväntade omdirigeringar eller förändringar i sidinnehåll.

Slutsats

GhostPoster-malwarekampanjen visar hur angripare kan förvandla betrodda Firefox-tillägg till diskreta infektionsvektorer. Genom att dölja skadlig kod i tilläggsikoner kringgår hotaktörer vanliga försvar och komprometterar webbläsare utan tydliga varningssignaler. Starkare granskningsprocesser för tillägg och ett mer försiktigt användarbeteende är avgörande för att förhindra liknande attacker.