PEEP biến Chrome và Edge thành cửa hậu sau xâm nhập
"Researchers disclosed PEEP, a Chromium-based post-exploitation toolkit that masquerades as a bookmarks extension and is sideloaded into Chrome/Edge profiles by tampering with Secure Preferences and browser policies. It uses a native messaging host to execute host commands, manage files, and exfiltrate browser data such as cookies, history, and session metadata; no CVE is associated with this activity, and the reported mitigation is to detect and block the malicious extension, its persistence mechanisms, and related C2 endpoints."
Rủi ro cao vì Chrome/Edge có thể bị biến thành cửa hậu bền vững sau khi máy đã bị xâm nhập; kẻ tấn công có thể đánh cắp cookie và phiên đăng nhập, đồng thời thực thi lệnh trên máy chủ.
Có thể dẫn đến chiếm đoạt tài khoản, gián đoạn điều tra sự cố và tăng chi phí xử lý trên nhiều máy trạm; môi trường doanh nghiệp dùng chính sách triển khai extension cần đặc biệt lưu ý.
Các nhà nghiên cứu an ninh đã công bố PEEP, một bộ công cụ hậu khai thác dựa trên Chromium có thể ngụy trang thành tiện ích bookmarks extension và được cài vào hồ sơ Chrome/Edge bằng cách can thiệp vào Secure Preferences cùng chính sách trình duyệt.
Sau khi được triển khai, PEEP dùng Native Messaging Host để vượt khỏi phạm vi trình duyệt, thực thi lệnh trên máy chủ, quản lý tệp và thu thập dữ liệu như cookies, lịch sử duyệt web, session metadata và thông tin tab đang mở. Mã độc cũng liên lạc với máy chủ C2 qua HTTP plaintext theo chu kỳ 30 giây, đồng thời có thể cập nhật thành phần mở rộng và gửi kết quả thực thi lệnh.
Điểm đáng chú ý là PEEP không có vector xâm nhập ban đầu; nó yêu cầu kẻ tấn công đã có quyền truy cập trước đó rồi mới cài đặt. Cơ chế duy trì hiện diện gồm sideloading, chính sách ExtensionInstallForcelist/ExtensionSettings, sửa Secure Preferences và các script PowerShell như install_silent.ps1, patch_secure_prefs.ps1 và force_enable.ps1.
Khuyến nghị: phát hiện và chặn extension độc hại, rà soát policy trình duyệt, kiểm tra dấu hiệu sửa Secure Preferences, và chặn các C2 endpoints liên quan. Đồng thời cần giám sát tiến trình như nm_host.exe và các thay đổi bất thường trong hồ sơ trình duyệt.