威胁概览
严重性：中等 类型：恶意软件
此威胁涉及三种针对Firefox和Chrome浏览器的高级劫持技术。第一种技术直接修改浏览器偏好文件，以更改默认搜索引擎和主页配置等设置。第二种技术被称为BRAT（浏览器远程访问工具），通过远程模拟按键来操控浏览器行为，包括打开不需要的标签页和更改搜索引擎。第三种技术利用Chromium命令行开关加载恶意扩展，同时禁用浏览器更新以维持持久性。这些方法使攻击者能够隐秘地控制浏览器行为，可能导致用户追踪、广告欺诈或进一步的恶意软件部署。尽管目前尚未发现这些技术在野外被主动利用，但它们展示了浏览器劫持技术日益复杂的演变趋势。该威胁被评为中等严重性，原因是其对用户隐私和浏览器完整性的潜在影响，加上中等的利用复杂性。严重依赖Chrome和Firefox浏览器的欧洲组织应保持警惕，因为这些浏览器在整个欧洲大陆被广泛使用。检测和缓解需要加强对浏览器配置文件、命令行参数以及异常输入模拟活动的监控。主动措施对于防止持久性劫持和维护浏览器安全完整性至关重要。
技术分析摘要
所分析的威胁描述了三种针对流行浏览器Firefox和Chrome的不同劫持技术。第一种技术涉及直接操控浏览器偏好文件，例如Firefox的pref.js以及Chrome的Preferences和Secure Preferences文件。通过修改这些文件，攻击者可以在未经用户同意的情况下更改关键的浏览器设置，包括默认搜索引擎、主页和其他偏好。第二种技术，称为BRAT（浏览器远程访问工具），使用模拟按键来远程控制浏览器操作。这允许攻击者打开不需要的标签页、更换搜索引擎，并可能执行其他浏览器命令，从而在不修改文件的情况下有效劫持用户会话。第三种技术利用了一个允许加载恶意扩展的Chromium命令行开关。攻击者利用此功能安装持久性恶意扩展，并同时禁用浏览器更新，防止这些扩展被移除，从而维持长期控制。这些技术利用了注册表操作、按键模拟和命令行利用，反映了浏览器劫持策略的复杂演变。虽然目前尚无已知的利用在野外活跃，但多个与恶意软件样本关联的哈希值的存在表明正在进行积极研究，并可能在未来部署。该威胁利用了映射到MITRE ATT&CK框架的技术，例如T1056.001（输入捕获：键盘记录）、T1553.006（创建或修改系统进程：Windows服务）和T1562.001（削弱防御：禁用或修改工具）等。该威胁强调需要改进检测方法，重点关注浏览器配置完整性、命令行参数监控和输入模拟的行为分析。鉴于Chrome和Firefox在企业环境中的广泛使用，这些劫持方法对用户隐私、数据完整性构成重大风险，并可能助长进一步的恶意软件感染或广告欺诈活动。
潜在影响
对于欧洲组织而言，这些浏览器劫持技术的影响可能是多方面的。被劫持的浏览器可能导致未经授权的数据收集，包括浏览习惯和凭证，从而损害用户隐私并可能暴露敏感的公司信息。对搜索引擎和主页设置的操控可能将用户重定向到恶意或钓鱼网站，增加凭证盗窃和恶意软件感染的风险。通过Chromium命令行利用加载的持久性恶意扩展可以长期保持对用户浏览器的访问和控制，绕过典型的基于更新的安全补丁。这种持久性可以促进企业网络内进一步的横向移动或数据外泄。此外，浏览器更新机制的破坏可能使系统易受其他未修补的浏览器漏洞影响。模拟按键（BRAT）的使用使检测复杂化，因为它模拟了合法的用户输入，可能规避传统的安全控制。对于欧洲的金融、医疗保健和政府等对访问敏感Web应用至关重要的行业，这些劫持技术可能破坏信任并影响对GDPR等数据保护法规的合规性。中等严重性评级反映了利用的中等复杂性以及隐私泄露和运营中断的巨大潜在可能性。
缓解建议
为缓解这些浏览器劫持技术，欧洲组织应实施以下具体措施：
- 对浏览器偏好文件（例如，Firefox的pref.js，Chrome的Preferences和Secure Preferences）实施严格的文件完整性监控，以及时检测未经授权的修改。
- 监控并限制基于Chromium的浏览器使用命令行开关，尤其是允许加载扩展的开关，使用应用程序控制或端点保护工具。
- 部署行为分析，以检测表明类似BRAT的按键模拟活动的异常输入模拟，利用端点检测和响应（EDR）解决方案。
- 确保浏览器配置为自动更新，并实施防止更新机制被禁用的策略。
- 使用企业浏览器管理工具集中控制扩展安装，并阻止未经授权或可疑的扩展。
- 教育用户和IT人员关于浏览器劫持的迹象以及报告异常浏览器行为的重要性。
- 实施网络级保护，例如DNS过滤和Web代理控制，以阻止访问劫持者可能使用的已知恶意域。
- 定期审计可能表明试图维持持久性或禁用防御的注册表和系统进程修改。
- 整合包含与这些劫持技术相关的已知哈希值和入侵指标的威胁情报源，以增强检测能力。
- 进行定期的安全评估和渗透测试，重点关注浏览器安全状况和抵御劫持尝试的能力。
受影响国家
德国、法国、英国、意大利、西班牙、荷兰、比利时、瑞典、波兰、爱尔兰
入侵指标 (IoC)
哈希值：
- 7da3fbd12e19a6f52f732c078171a2c2
- 811799e327f74e4e4d47a9260809d468
- 90498128094573f37a3c0482655cdca1
- b158a4cd00a7e25a98744b0ee28d9515
- c089406db0a249562b86f7d77109e96b
- 24118ec391e2e622a131a444be990cdc4944b0ec
- 58740587e722fafe6b386f4cea9511342301dd27
- 7aad2b9d9ead00f32448a3ea65bf2ec07aa1973a
- ad98488a767446c47d1fca98e51daf90a6961a07
- b32b6f357c289c81f953f58b8c513afeff3b3fe4
- 1d9bebfec33fa5a5381f0d1fcc3a57e83a2f693a2e0d688cdb86abfa7484a28d
- 6022fd372dca7d6d366d9df894e8313b7f0bd821035dd9fa7c860b14e8c414f2
- 6ae8c50e3b800a6a0bff787e1e24dbc84fb8f5138e5516ebbdc17f980b471512
- 847a629e3f3c4068c26201ed5e727cda98b3ac3d832061feae0708ff8007d4fb
- a1c49a02d19bb93e45a0ec6c331bba7e615c6f05ae43d0dfd36cf4d8e2534c6a