AddScript
PUP-operatörer (Potentially Unwanted Programs) och hotaktörer fortsätter att förlita sig på AddScript-webbläsartilläggsfamiljen som en källa för nya påträngande applikationer. De första AddScript-applikationerna identifierades av cybersäkerhetsforskare 2019 och sedan dess har familjen varit ganska aktiv. Detaljer om denna speciella grupp av applikationer och allmänna annonsprogram och skadliga webbläsartilläggsaktiviteter släpptes av experter på skadlig programvara.
Enligt forskarna sprids AddScript-applikationerna mestadels under sken av användbara medieverktyg. Mer specifikt lovar de användare möjligheten att ladda ner valt ljud- och videoinnehåll från olika källor, såsom sociala nätverk. En annan populär roll som ses i AddScript-applikationer är proxyhanterare. En viktig egenskap hos denna hotfamilj är att dess medlemmar nästan alltid är kapabla att utföra de utlovade funktionerna, som ett sätt att inte väcka misstankar och för att säkerställa att användare inte tar bort dem. Applikationer som bekräftats tillhöra denna familj inkluderar Y2Mate - Video Downloader, SaveFrom.net helper, friGate3 proxy helper, etc.
Men i bakgrunden av systemet kommer AddScript-tillägget att fortsätta för att utföra sina skändliga mål. Först kommer programmet att kontakta en hårdkodad URL som tillhör dess Command-and-Control-server (C2, C&C). Efter att ha upprättat en anslutning till C2 kommer AddScript-tillägget att hämta ett skadat JavaScript och sedan köra det tyst. Ett möjligt tecken på de hemliga aktiviteter som användare kan märka är en onormal ökning av förbrukningen av CPU-resurser.
De exakta funktionerna för den levererade koden kan variera, baserat på det specifika schema som applikationernas operatörer kör. Till exempel kan AddScript-tillägget köra videor på flikarna som öppnas i användarens webbläsare för att generera vinster baserat på de förmodade "visningarna". En annan möjlighet är att den påträngande applikationen utför ett schema som kallas "cookie stuffing"/"cookie dropping". Det innebär att distribuera affiliate-cookies på den berörda enheten. Efteråt kan bedragarna kräva provision för förfalskade transaktioner och trafik som inte har inträffat.
