PEEP trasforma Chrome ed Edge in backdoor persistenti dopo la compromissione

🛡️ Executive Summary

• PEEP richiede una compromissione preesistente e installa una falsa estensione Smart Bookmarks direttamente nei profili Chrome ed Edge.
• La falsificazione di Secure Preferences e le policy enterprise mantengono l’estensione attiva, mentre nm_host.exe permette comandi sul sistema operativo.
• Il toolkit esfiltra cookie, cronologia e schede ogni 30 secondi; 34 agenti osservati sul C2 non equivalgono a 34 vittime confermate.

Chrome e Microsoft Edge possono diventare direttamente il centro di una catena di post-exploitation, trasformandosi da applicazioni utilizzate dalla vittima in una piattaforma persistente per furto delle sessioni, sorveglianza e controllo del sistema operativo. È il modello adottato da PEEP, framework analizzato dalla SOCRadar Threat Research Unit che si presenta come una falsa estensione denominata Smart Bookmarks. La distinzione fondamentale è che PEEP non compromette autonomamente il computer: l’attaccante deve già disporre di privilegi amministrativi o della possibilità di eseguire codice. Una volta ottenuto l’accesso, però, il toolkit inserisce direttamente l’estensione nei profili Chromium, falsifica i controlli di integrità e utilizza Native Messaging per trasformare il browser in un vero RAT capace di raggiungere anche il sistema operativo.

PEEP entra dopo la compromissione e usa Chrome come punto di persistenza

L’analisi tecnica originaria pubblicata dalla SOCRadar Threat Research Unit descrive PEEP come un framework di post-exploitation derivato da RedExt, quindi non come un malware dotato di una propria catena di initial access. L’installatore presuppone che un altro exploit, malware, accesso amministrativo o movimento laterale abbia già aperto la strada sull’endpoint. A quel punto il toolkit inserisce la propria estensione direttamente dentro i profili di Google Chrome o Microsoft Edge, evitando il Chrome Web Store, Edge Add-ons e le normali finestre di conferma mostrate all’utente.

La falsa estensione principale utilizza l’ID ejkndncpkdcjcikfhiamcdehdoegilbj, si presenta come Smart Bookmarks e implementa il loop attraverso il quale il browser registra l’infezione, riceve i task e invia i dati sottratti. La tecnica porta un passo più avanti il modello già osservato nelle 19 estensioni Chrome ed Edge della campagna Superior, capaci di rubare wallet, credenziali e sessioni: in quel caso il problema nasceva da estensioni distribuite o aggiornate attraverso l’ecosistema browser, mentre PEEP presuppone che l’endpoint sia già perso e usa l’estensione come meccanismo di persistenza post-compromise.

Secure Preferences viene falsificato per far sembrare legittima l’estensione

Uno dei passaggi tecnicamente più interessanti riguarda il file Secure Preferences di Chromium. Chrome ed Edge utilizzano valori di integrità per rilevare modifiche anomale alle preferenze più sensibili, comprese quelle relative alle estensioni. PEEP non si limita quindi a copiare file dentro la directory del browser: ricostruisce i valori HMAC-SHA256 associati alle singole voci per fare in modo che la configurazione manipolata superi i controlli di integrità. A questo si aggiungono diversi percorsi alternativi di installazione e persistenza.

Gli script PowerShell install_silent.ps1, patch_secure_prefs.ps1 e force_enable.ps1 possono attivare il sideloading, modificare le preferenze, eliminare l’estensione dall’elenco external_uninstalls, registrare il CRX attraverso chiavi di registro e manifest JSON e riavviare il browser. Il toolkit sfrutta inoltre ExtensionInstallForcelist ed ExtensionSettings, le stesse policy previste per installazioni amministrative legittime in ambienti enterprise. PEEP dimostra quindi il lato offensivo di una superficie che Microsoft e Google continuano a restringere, come emerge anche dalla progressiva disattivazione delle estensioni Manifest V2 in Edge e dal maggiore controllo sulle policy browser: una policy amministrativa è utile finché è l’amministratore legittimo a controllarla, ma diventa un potente meccanismo di persistenza quando l’attaccante possiede già privilegi sull’host.

Leggi anche: Jewelbug usa una falsa estensione browser per rubare cookie e controllare le sessioni

nm_host.exe rompe il confine tra browser e sistema operativo

La sola estensione sarebbe già capace di raccogliere una grande quantità di informazioni, ma PEEP aggiunge un secondo componente che cambia completamente la natura della minaccia. Attraverso il Native Messaging Host com.peep.lab, Chrome o Edge possono avviare il binario nm_host.exe, un payload basato su Node.js che funziona come ponte tra l’estensione e il sistema operativo.

Le API di Native Messaging sono previste proprio per permettere a un’estensione autorizzata di comunicare con applicazioni native installate sul computer; PEEP le utilizza per trasformare una presenza interna al browser in esecuzione di comandi shell, gestione dei file, enumerazione dei processi e scoperta dei servizi. L’operatore non è quindi confinato alla pagina Web o alla sandbox Chromium. Può utilizzare il browser come frontend di una capacità di controllo molto più simile a quella di un RAT tradizionale. La convergenza ricorda TwinLoot, che controllava Microsoft Edge headless attraverso Chrome DevTools Protocol per spostare il traffico offensivo dentro processi browser legittimi, ma PEEP adotta una strada differente: non controlla soltanto il browser dall’esterno, bensì installa al suo interno un agente persistente e gli collega direttamente un eseguibile nativo.

Cookie, cronologia e schede vengono esfiltrati ogni 30 secondi

Una volta inizializzato, l’agente registra il sistema compromesso presso il C2 e avvia un beacon ogni 30 secondi attraverso HTTP non cifrato. L’infrastruttura osservata da SOCRadar utilizzava l’indirizzo 206.237.30[.]232 e il dominio xfjcc[.]fun, con il pannello di controllo e le API sulla porta TCP 5001 e un repository di staging esposto sulla porta 5002. Tra gli endpoint figurano /api/register, /api/commands, /api/exfil, gli heartbeat degli agenti, l’upload dei risultati e le funzioni di aggiornamento dell’estensione. La raccolta automatica comprende cookie di sessione, cronologia recente, tab aperte, URL attivo, indirizzo IP pubblico, locale, timezone e User-Agent, mentre il content script viene iniettato nelle pagine visitate per eseguire operazioni direttamente dentro il contesto Web. Il furto dei cookie rende PEEP particolarmente pericoloso perché una sessione già autenticata può valere più della password: lo stesso principio è emerso quando infostealer hanno riutilizzato sessioni Claude senza dover necessariamente superare nuovamente il 2FA. Un browser compromesso non contiene quindi soltanto cronologia e preferenze, ma identità già autenticate verso SaaS, posta elettronica, cloud, pannelli amministrativi e applicazioni aziendali.

RedExt collega PEEP alle tecniche viste nelle campagne GlassWorm

PEEP non nasce da zero. SOCRadar ne attribuisce l’architettura di base a RedExt, framework open source di browser command-and-control che fornisce già registrazione degli agenti, polling dei comandi e raccolta dei dati. PEEP conserva quel modello ma aggiunge installer dedicati, bridge Native Messaging, aggiornamento remoto, heartbeat, persistenza e una quantità maggiore di operazioni. La relazione è importante anche perché RedExt era già comparso nelle infrastrutture analizzate durante la campagna GlassWorm, dove estensioni rivolte agli sviluppatori venivano utilizzate per diffondere malware, rubare token e raggiungere ulteriori asset. Il passaggio da framework red-team a componente di un toolkit operativo mostra ancora una volta quanto sottile possa diventare il confine tra software di ricerca e capacità offensive quando il codice è facilmente riutilizzabile. Le campagne recenti sulle estensioni hanno già dimostrato che browser e marketplace di sviluppo possono diventare supply chain distribuite per il furto di credenziali e sessioni; PEEP applica la stessa logica dopo la compromissione, quando l’attaccante non deve più convincere l’utente a installare nulla.

Gli artefatti cinesi non consentono un’attribuzione definitiva

Nel codice e nei file recuperati dall’infrastruttura compaiono artefatti in cinese tradizionale, compresi log di test e un pannello amministrativo denominato AI · 法客-P. SOCRadar valuta quindi con confidenza moderata la possibilità che dietro PEEP vi sia un operatore o uno sviluppatore sinofono, ma non attribuisce il toolkit a un gruppo conosciuto. L’analisi segnala inoltre riferimenti ripetuti a “Authorized CTF”, presenti nel pannello e nella documentazione.

I ricercatori avanzano l’ipotesi che questa formulazione possa essere stata utilizzata anche per presentare lo sviluppo come attività autorizzata davanti a strumenti AI dotati di guardrail, ma non esistono elementi sufficienti per dimostrare quanto codice sia stato effettivamente prodotto attraverso modelli generativi. La cautela è necessaria anche sulla presunta vittimologia. L’endpoint /health esposto mostrava 34 agenti, 10 sessioni attive e 507 record, ma quei valori possono comprendere sistemi di test, agenti di laboratorio e installazioni dello stesso sviluppatore. Non possono quindi essere trasformati automaticamente in 34 vittime reali o in una campagna già attribuibile a specifiche organizzazioni.

Continua con:

• AmnesiaStealer controlla browser Chromium clonati attraverso Chrome DevTools Protocol
• Chrome zero-day sotto attacco: Google corregge V8 e altre undici vulnerabilità

Le aziende devono monitorare il browser come un endpoint privilegiato

PEEP mostra perché la difesa del browser non può limitarsi agli aggiornamenti di Chrome o Edge e alla reputazione delle estensioni presenti negli store. Un endpoint già compromesso permette all’attaccante di scrivere direttamente nei profili Chromium, modificare Secure Preferences, abusare delle policy enterprise e registrare Native Messaging Host senza passare dai marketplace ufficiali. Le aziende devono quindi controllare estensioni installate fuori dagli store, variazioni inattese nelle policy ExtensionInstallForcelist ed ExtensionSettings, scritture anomale nei file Preferences e Secure Preferences, registrazioni di NativeMessagingHosts, processi nm_host.exe e directory riconducibili a %LOCALAPPDATA%\PEEP\. Sul perimetro di rete vanno bloccati gli IoC pubblicati da SOCRadar e monitorate richieste HTTP periodiche verso infrastrutture sconosciute provenienti direttamente dai processi browser. La lezione più importante è però architetturale: Chrome ed Edge non sono più soltanto applicazioni che mostrano pagine Web. Conservano cookie, token, password, sessioni SaaS, accessi cloud e possono dialogare con componenti nativi del sistema. Per un attaccante che ha già ottenuto un primo foothold, trasformare quel browser in una backdoor significa posizionarsi esattamente nel punto in cui identità digitale e sistema operativo si incontrano.