Un'estensione malevola chiamata PEEP si insinua nei profili Chrome ed Edge, aggira i controlli ufficiali e trasforma il browser in una porta d'accesso permanente per il furto di dati e l'esecuzione di comandi sul sistema.
Un browser apparentemente innocuo può diventare la chiave per il controllo totale di un computer: è quanto dimostra PEEP, un toolkit post-compromissione che si installa come finta estensione "Smart Bookmarks" su Chrome ed Edge, trasformando il browser in una backdoor persistente capace di eseguire comandi a livello di sistema e sottrarre dati sensibili senza che l'utente se ne accorga.
PEEP non entra in azione da solo: richiede che un attaccante abbia già ottenuto accesso amministrativo o eseguito codice sulla macchina bersaglio. Da lì, il toolkit viene iniettato direttamente nei profili dei browser Chromium, aggirando i controlli del Chrome Web Store e le notifiche all'utente grazie alla manipolazione dei valori di integrità delle Secure Preferences. Il risultato? Un'estensione che si auto-attiva a ogni avvio del browser e che sfugge ai sistemi di rilevamento tradizionali.
Come opera PEEP e quali dati ruba
Una volta installato, l'agente PEEP stabilisce un collegamento costante con il server di comando e controllo, interrogandolo ogni 30 secondi tramite HTTP non cifrato. Nel frattempo, raccoglie e invia una quantità impressionante di informazioni: cronologia di navigazione, metadati delle schede attive, cookie di sessione, credenziali salvate e dettagli sul sistema operativo. L'estensione può anche alterare le pagine web visualizzate, eseguire screenshot, leggere la clipboard e iniettare codice JavaScript nelle pagine aperte.
Il vero salto di qualità rispetto ai classici infostealer arriva con l'integrazione di un componente nativo ("nm_host.exe") che permette all'estensione di uscire dal perimetro del browser e interagire direttamente con il sistema operativo. Attraverso questa "native-messaging bridge", PEEP può lanciare comandi shell, gestire file, scoprire processi e servizi attivi, rendendo il browser un vero e proprio punto di pivot per il controllo remoto della macchina.
Meccanismi di persistenza e tecniche di elusione
PEEP si distingue per la varietà di tecniche usate per garantirsi la sopravvivenza: dalla modifica dei file Secure Preferences per l'auto-attivazione, all'uso di policy aziendali come ExtensionInstallForcelist e ExtensionSettings per forzare l'installazione, fino a script PowerShell che abilitano la Developer Mode, patchano le preferenze e ri-registrano l'estensione anche dopo tentativi di rimozione. Non manca il supporto a Linux, segnalato dalla presenza di uno script Python dedicato.
Il toolkit si basa su RedExt, un framework open source già sfruttato in attacchi GlassWorm, ma lo supera per sofisticazione: routine di installazione dedicate, canale di aggiornamento, telemetria heartbeat e un set di comandi ampliato. L'attività resta senza attribuzione certa, ma la presenza di artefatti in lingua cinese nel codice suggerisce la mano di un attore con base o competenze in quell'area.
Infrastruttura di comando e indicatori di compromissione
L'estensione comunica con diversi endpoint: registra l'infezione, invia dettagli su sistema e browser, aggiorna se stessa, trasmette risultati dei comandi e dati esfiltrati come cookie, cronologia, tab aperte, IP pubblico e fuso orario. Un endpoint "/health" rivela almeno 34 agenti registrati, 10 sessioni attive e oltre 500 record di dati, anche se non è chiaro quanti siano reali bersagli e quanti test.
La strategia di PEEP ricorda quanto già visto in altri attacchi mirati a piattaforme di sviluppo, come riportato di recente su QWERTYmag, dove la compromissione di strumenti apparentemente fidati si trasforma in una minaccia sistemica per aziende e pubbliche amministrazioni.
Implicazioni e rischi per aziende e utenti
Il vero pericolo di PEEP sta nella sua capacità di sfruttare la fiducia riposta nei browser più diffusi, aggirando i controlli di sicurezza e mantenendo la persistenza anche in ambienti gestiti. L'estensione opera all'interno di processi firmati, rendendo difficile il rilevamento tramite le classiche firme di malware. In pratica, ogni sessione di Chrome o Edge può diventare un trampolino per il furto di credenziali, l'abuso di sessioni e l'esecuzione di comandi arbitrari sul sistema.
La facilità con cui PEEP si integra nei flussi aziendali e la sua capacità di eludere i controlli di sicurezza impongono una riflessione urgente sulle strategie di difesa: la sola protezione del perimetro non basta più, serve monitoraggio continuo dei processi e delle estensioni browser, oltre a una gestione rigorosa dei privilegi amministrativi. Chi sottovaluta il rischio di estensioni non ufficiali o ignora i segnali di compromissione si espone a una minaccia che, come dimostra PEEP, può trasformare uno strumento quotidiano in un'arma silenziosa e devastante.
