Aggregator

研究人员在 Chrome、Firefox 和 Edge 应用商店中又发现了17款与GhostPoster攻击活动相关的恶意扩展，这些扩展的累计安装量已高达84万次。 

GhostPoster 活动最早由Koi Security的研究人员在2025年12月披露。当时他们发现了17款扩展，这些扩展将恶意 JavaScript 代码隐藏在其 Logo 图片中，用于监控浏览器活动并植入后门。

该恶意代码会从外部资源获取经过高度混淆的载荷（Payload），进而追踪受害者的浏览活动、劫持主流电商平台的联盟营销链接，并注入不可见的 iframe 以实施广告欺诈和点击欺诈。

LayerX的一份新报告指出，尽管该活动已被曝光，但仍在持续进行，以下 17 款扩展均为其最新成员：

·Google Translate in Right Click – 522,398 次安装

·Translate Selected Text with Google - 159,645 次安装

·Ads Block Ultimate – 48,078 次安装

·Floating Player – PiP Mode – 40,824 次安装

·Convert Everything – 17,171 次安装

·Youtube Download – 11,458 次安装

·One Key Translate – 10,785 次安装

·AdBlocker – 10,155 次安装

·Save Image to Pinterest on Right Click – 6,517 次安装

·Instagram Downloader – 3,807 次安装

·RSS Feed – 2,781 次安装

·Cool Cursor – 2,254 次安装

·Full Page Screenshot – 2,000 次安装

·Amazon Price History – 1,197 次安装

·Color Enhancer – 712 次安装

·Translate Selected Text with Right Click – 283 次安装

·Page Screenshot Clipper – 86 次安装 

研究人员称，该活动最初起源于 Microsoft Edge 应用商店，随后扩展至 Firefox 和 Chrome。

LayerX 发现，上述部分扩展自 2020 年起就已存在于浏览器插件商店中，这表明这是一场成功的长期潜伏行动。

扩展上传时间轴

虽然其规避检测和激活后的功能与 Koi 之前记录的大致相同，但 LayerX 在“Instagram Downloader”扩展中发现了一个更高级的变种。

该变种的不同之处在于，它将恶意的“预加载逻辑”转移到了扩展的后台脚本中，并将捆绑的图像文件不仅用作图标，还作为隐蔽的载荷容器。

解码图像文件的有效载荷

在运行时，后台脚本会扫描图像的原始字节以寻找特定的分隔符（>>>>），提取隐藏数据并存储在本地扩展存储中，随后将其 Base64 解码并作为 JavaScript 执行。

这种分阶段的执行流程表明，该恶意软件正朝着更长的潜伏期、模块化以及更强的抗静态和行为检测能力方向进化。

新发现的这些扩展目前已从 Mozilla 和 Microsoft 的插件商店中下架。然而，此前已在浏览器中安装了这些扩展的用户可能仍面临风险。

近日，工业和信息化部网络安全威胁和漏洞信息共享平台（CSTIS）监测发现，MuddyWater组织近期针对政府、军事、电信、能源等机构实施网络攻击，窃取系统凭证、机密文件等敏感数据。

攻击者通过鱼叉邮件投递双重伪装载荷，一类是伪装成PDF文档的可执行文件（如“xxx.pdf.exe”），另一类则在DOC文档中嵌入恶意宏代码。一旦受害者误启PDF文档，伪装文档将立即释放UDPGangster后门（MuddyWater组织的UDP后门，支持远程控制、窃密等）到本地。对于嵌入恶意宏代码的DOC文档，一旦打开，宏代码将会被静默执行并从自身解密释放后续载荷，将其保存为txt文件后重命名为装载UDPGangster的novaservice.exe可执行文件。攻击载荷成功在内存部署后门后，UDPGangster会将自身复制为SystemProc.exe，并通过写入注册表HKCU\...\UserShellFolders\Startup实现自动启动。同时，MuddyWater组织采用动态C2连接策略，优先读取本地配置文件，失败则回退至硬编码C2地址。后门程序会收集主机名、工作组、系统版本及用户名等数据，加密回传至服务端，最终建立对目标主机的远程控制。

建议相关单位及用户立即禁用Office宏执行策略，阻断恶意文档释放攻击载荷；部署邮件网关动态沙箱，深度检测伪装PDF的可执行文件及带宏文档；实时监控注册表路径HKCU\Software\...\UserShellFolders\Startup异常写入，清除SystemProc.exe后门持久化项。

相关IOC信息

MD5：

07502104c6884e6151f6e0a53966e199

409d02d6153af220e527fd72256ee3a5

561b2983d558283c446ff674ff6138c3

7bfbc76c7eeb652d73b85c99ee83b339

9e06b36f4da737b8d699a6846c2540e9

a39f74247367e0891f18b7662c8e69b5

a546d2363a4b94e361d0874b690c853b

a9235540208fa6a25614c24a59e19199

aa75a0baebc93d4ca7498453ef64128a

bed77abc7e12230439c0b53dd68ffaf7

d84812961fc7cd8340031efd7b5508a8

dd6af28d1a03193fc76001b04d5827cc

de14abbda6a649d9ec90a816847f95db

e09a720574a6594b1444ebc1d6cca969

e5dd608292b6f421b0c108816d25fc5e

SHA256：

7ea4b307e84c8b32c0220eca13155a4cf66617241f96b8af26ce2db8115e3d53

aea51eaafacd03ade98875b107481d46a8f79ea9d903172b2ed8458c785a8273

d766a8ff123449a8c87fb3570c885439ccfd7d6151847d6d1f44ee7a59c4845c

ff62c294a2bcfee0d291b15ff1fd1733d08ab901281acf9c089f4662b4002a69

SHA1：

0543e6c36ca89e5d3e13656af0d1b4af0b7585c9

7bb0d162bbaa462c516502d1db56818d24ad825f

903e97ee731796fde34153c71eb718a1015ba358

d00280f07f2159adb16d8f76b7838e3e86773a7e

关联域名：

157[.]20[.]182[.]75[:]1269

64[.]7[.]198[.]12[:]1259

关联IP地址：

157[.]20[.]182[.]75

64[.]7[.]198[.]12

文章来源自：网络安全威胁和漏洞信息共享平台