AddScript

Gli operatori PUP (Programmi potenzialmente indesiderati) e gli attori delle minacce continuano a fare affidamento sulla famiglia di estensioni del browser AddScript come fonte per nuove applicazioni intrusive. Le prime applicazioni AddScript sono state identificate dai ricercatori di cybersecurity nel 2019 e da allora la famiglia è rimasta piuttosto attiva. I dettagli su questo particolare gruppo di applicazioni e le attività generali di adware e estensioni dannose del browser sono stati rilasciati da esperti di malware.

Secondo i ricercatori, le applicazioni AddScript sono per lo più diffuse con il pretesto di utili strumenti multimediali. In particolare, promettono agli utenti la possibilità di scaricare contenuti audio e video scelti da varie fonti, come i social network. Un altro ruolo popolare visto nelle applicazioni AddScript è quello dei gestori proxy. Una caratteristica importante di questa famiglia di minacce è che i suoi membri sono quasi sempre in grado di eseguire le funzionalità promesse, in modo da non destare sospetti e per garantire che gli utenti non le rimuovano. Le applicazioni confermate di appartenere a questa famiglia includono Y2Mate - Video Downloader, SaveFrom.net helper, friGate3 proxy helper, ecc.

Tuttavia, sullo sfondo del sistema, l'estensione AddScript procederà a raggiungere i suoi obiettivi nefasti. Innanzitutto, l'applicazione contatterà un URL hardcoded appartenente al suo server Command-and-Control (C2, C&C). Dopo aver stabilito una connessione al C2, l'estensione AddScript recupererà un JavaScript danneggiato e quindi lo eseguirà silenziosamente. Un possibile segno delle attività segrete che gli utenti potrebbero notare è un aumento anomalo del consumo di risorse della CPU.

Le funzioni esatte del codice fornito possono variare, in base allo schema specifico che gli operatori delle applicazioni eseguono. Ad esempio, l'estensione AddScript può eseguire video nelle schede aperte nel browser dell'utente per generare profitti in base alle presunte "viste". Un'altra possibilità è che l'applicazione intrusiva esegua uno schema noto come "cookie stuffing"/"cookie dropping". Implica la distribuzione di cookie di affiliazione sul dispositivo interessato. Successivamente, i truffatori possono richiedere commissioni per transazioni e traffico falsificati che non si sono verificati.