NIEUWS

IN HET KORT: Microsoft heeft een omvangrijke maliciuese campagne ontdekt genaamd SleeperWidget. De operatie maakt gebruik van schadelijke browserextensies die ongemerkt het surfgedrag van gebruikers monitoren, ongewenste advertenties injecteren en affiliate-links manipuleren. Uit het beveiligingsonderzoek blijkt dat er minstens 250 gerelateerde extensies zijn geïdentificeerd in de officiële webwinkels van Microsoft Edge Add-ons, de Chrome Web Store en Mozilla Add-ons.

Vermomd als alledaagse browsertools

De cybercriminelen achter SleeperWidget gaven de extensies het uiterlijk van handige en alledaagse hulpmiddelen. Zo deden de invoegtoepassingen zich onder meer voor als:

• Interactieve landkaarten en navigatietools.

• Receptenzoekers en kookhulpen.

• Pakkettrackers voor postdiensten.

• PDF-converters en hulpprogramma's voor de werkbalk.

Om slachtoffers te lokken, maakten de aanvallers op grote schaal gebruik van malvertising: betaalde advertenties in zoekmachines die hoog bovenaan de zoekresultaten verschijnen wanneer gebruikers zoeken naar specifieke software. Wie op de advertentie klikte, werd rechtstreeks doorverwezen naar de schadelijke vermeldingen binnen de officiële browser-stores.

Sluitende 'sleeper'-tactiek om detectie te omzeilen

De naam SleeperWidget verwijst naar de manier waarop de extensies beveiligingscontroles en geautomatiseerde scans weten te omzeilen. Na installatie gedraagt de extensie zich in eerste instantie als een normale, functionele tool. Pas na een willekeurig ingestelde vertraging—die kan variëren van enkele uren tot meerdere dagen—activeert de extensie zijn kwaadaardige functies.

Eenmaal actief voert de extensie op de achtergrond de volgende handelingen uit:

• Browsebewaking: Het vastleggen en doorsturen van bezochte URL's, zoekopdrachten en systeemgegevens naar een Command and Control-server (C2).

• Affiliate-manipulatie: Het stiekem herschrijven van affiliate-links wanneer de gebruiker online winkelt. De aanvallers strijken zo de commissies op van aankopen die de gebruiker doet, zonder dat de koper of webwinkel hier iets van merkt.

• Injectie van ongewenste advertenties: Het invoegen van agressieve pop-ups, banners en gesponsorde zoekresultaten op reguliere webpagina's.

Maatregelen en advies voor gebruikers

Inmiddels zijn de betrokken browsermarktplaatsen geïnformeerd en zijn de geïdentificeerde SleeperWidget-extensies uit de online winkels verwijderd.

Gebruikers die vermoeden dat ze een besmette extensie hebben geïnstalleerd, wordt geadviseerd om hun lijst met browser-uitbreidingen grondig te controleren. Extensies die via advertenties zijn gedownload of die functies bieden zoals pakkettracking of recepten zoeken, kunnen het beste direct handmatig worden verwijderd. Het inschakelen van een actieve adblocker verkleint daarnaast de kans om via gesponsorde zoekresultaten op malicieuze pagina's terecht te komen.