当前位置：GHOST系统之家>电脑问题 > 恶意的火狐扩展程序可以接管Gmail账户

恶意的火狐扩展程序可以接管Gmail账户

来源：Ghost系统之家浏览：时间：2022-11-07 07:19:44

最近发现了一种新型网络攻击，它通过使用一个名为FriarFox的恶意Mozilla Firefox浏览器扩展插件来控制受害者的Gmail帐户。

研究人员说，在1月和2月观察到的针对西藏的攻击活动与TA413组织有关，TA413是一个高级持续威胁(APT)组织。

研究人员说，这种攻击的幕后组织打算通过监视受害者的Firefox浏览器数据和Gmail信息来收集受害者的隐私。

安装扩展插件后，FriarFox会允许网络犯罪分子对用户的Gmail账户和Firefox浏览器的数据进行各种各样的控制。

例如，网络犯罪分子能够搜索、阅读、标记、删除、转发和存档邮件，接收Gmail通知，并使用受害者的账户来发送邮件。而且，根据用户的Firefox浏览器的访问权限，他们可以进行访问所有网站的用户数据，显示通知，读取和修改隐私设置，访问浏览器标签等操作。

Proofpoint周四表示："尽管TA413组织的攻击工具在技术上是有限的，但是TA413组织通过开发FriarFox恶意浏览器扩展，进一步丰富了TA413组织的攻击工具的种类。

网络攻击源于恶意电子邮件

此次攻击源于几个针对西藏政府组织的钓鱼邮件(1月下旬首次发现)。研究人员发现其中一封邮件声称是来自"西藏妇女协会"，这是一个真实合法的组织。邮件的主题是"西藏内部和西藏交流社区。"

研究人员注意到，这些邮件都是从一个TA413的目前已知的Gmail账户发出的，该账户已经使用了很多年了。研究人员说，这封邮件冒充了达赖喇嘛办事处的身份来进行诈骗攻击。

这些邮件中都包含了一个恶意的URL，它冒充了一个YouTube的页面(hxxps://you-tube[.]tv/)。实际上，这个链接会将收件人引导到一个伪造的AdobeFlash Player更新的登陆页面，在这里受害者会下载恶意浏览器扩展。

伪造的Adobe Flash Player页面

然后，这个恶意的"更新"页面会执行几个JavaScript文件，这些文件会对用户的系统进行分析，并判断是否能够安装恶意的FriarFox扩展，FriarFox能否安装取决于很多条件。

研究人员说："网络攻击者似乎是在针对Firefox浏览器的用户进行攻击，并在该浏览器中对Gmail的信息进行监视，用户必须从Firefox浏览器访问URL才能下载该浏览器扩展。此外，用户必须使用该浏览器主动登录Gmail账户，才能成功的安装上恶意插件。"

如果浏览器和Gmail服务器有数据的传输，浏览器会把Firefox用户引导到FriarFox扩展的下载页面(hxxps://you-tube[.]tv/download.php)，并提示用户可以从该网站下载插件。

在这里页面会提醒用户添加浏览器扩展(通过批准扩展的权限)，该扩展声称是 "Flash的更新组件"。

犯罪分子还会利用各种技巧来对付那些没有使用Firefox浏览器或没有激活Gmail会话的用户。

例如，一位没有使用Gmail账户且没有使用Firefox的用户在访问了假的AdobeFlashPlayer的登陆页面后，他被重定向到了合法的YouTube登录页面。然后，该攻击者会试图访问网站上正在使用的活动域的cookie。

研究人员表示，"在使用Gsuite账号登录用户的YouTube账户的情况下，攻击者可能会试图利用这个域的cookie来访问用户的Gmail账户。"。然而，"此时，该用户并没有被浏览器引导到FriarFox浏览器扩展下载的页面"。

FriarFox浏览器扩展的恶意功能

研究人员表示，FriarFox似乎是基于一个名为"GmailNotifier(restartless)"的开源工具而开发的。这是一个免费的工具，我们可以在很多网站上找到，包括GitHub，MozillaFirefox浏览器插件商店和QQ应用商店等。研究人员指出，这个恶意扩展插件也是以XPI文件的格式出现的。这个文件格式是Mozilla浏览器所使用的插件的专有格式。

研究人员说："TA413网络攻击者修改了开源浏览器扩展GmailNotifier中的几部分代码，这样可以就可以实现它的攻击功能，这个工具可以向受害者隐藏浏览器的警报信息，攻击者还将该扩展程序伪装成了AdobeFlash的相关工具"。

在安装FriarFox之后，其中一个Javascript文件(tabletView.js)还会主动从一个由攻击者控制的服务器上来检索Scanbox框架。Scanbox是一个基于PHP和JavaScript的侦察框架，它可以收集受害者系统的信息，它最早可以追溯到2014年。