Una extensión maliciosa de Chrome que afirma ayudar a los usuarios de Meta Business roba silenciosamente códigos 2FA del Facebook Business Manager y datos analíticos, poniendo en riesgo de toma de control cuentas de publicidad de alto valor.

La extensión, “CL Suite by @CLMasters” (ID: jkphinfhmfkckkcnifhjiplhfoiefffl), aún está disponible en la Chrome Web Store y apunta específicamente a entornos de Meta Business Suite y Facebook Business Manager.

Promocionada como una herramienta para “extraer datos de personas, analizar Business Managers, eliminar ventanas emergentes de verificación y generar códigos 2FA”, CL Suite solicita permisos amplios sobre meta.com y facebook.com.

De herramienta de productividad a infostealer

Su política de privacidad afirma que los secretos de 2FA y los datos del Business Manager permanecen locales en el navegador. Sin embargo, el análisis técnico muestra que la extensión se comporta más como un infostealer que como una herramienta de productividad.

Los investigadores de amenazas de Socket descubrieron que abusa sistemáticamente de las funciones que anuncia para recolectar secretos de autenticación e inteligencia empresarial de sesiones de administrador autenticadas.

El problema más grave es cómo maneja la extensión la autenticación de dos factores para cuentas de Facebook y Meta Business.

Cuando los usuarios confían en su generador 2FA integrado, CL Suite captura la semilla TOTP, el código 2FA actual de 6 dígitos.

El nombre de usuario y correo electrónico asociados de Facebook se envían luego a una infraestructura controlada por atacantes en getauth[.]pro, con la opción de reenviarlo a un canal de Telegram.

Con la semilla y un código válido con marca de tiempo, los atacantes pueden seguir generando códigos 2FA funcionales indefinidamente, lo que facilita secuestrar cuentas una vez que se obtienen contraseñas o canales de recuperación de infostealers o filtraciones de credenciales.

Datos de Business Manager y analíticas recolectados

La extensión también ataca agresivamente los datos del Meta Business Manager.

Una función de “Personas” extrae la vista de “Personas” del Business Manager, crea archivos CSV con nombres, direcciones de correo electrónico, roles, estado y niveles de acceso, y exfiltra silenciosamente esos CSV al mismo backend, a menudo marcados para reenvío a Telegram.

Otro componente de analíticas enumera los ID del Business Manager, cuentas publicitarias vinculadas, páginas conectadas y configuraciones de facturación o pago, dando a los atacantes un mapa completo de los activos empresariales y cómo se financia el gasto en publicidad.

Incluso con una base de instalación limitada, esta visibilidad es suficiente para identificar objetivos exitosos y planificar actividades de fraude o toma de control de cuentas posteriores.

Según la investigación de amenazas de Socket, las organizaciones que usan Meta Business o Facebook Business Manager deben auditar las extensiones del navegador, eliminar CL Suite y tratar las cuentas afectadas como comprometidas.

Los pasos recomendados incluyen volver a registrar 2FA con secretos nuevos, revisar los roles y miembros del Business Manager, y monitorear el tráfico hacia getauth[.]pro y la infraestructura relacionada.

A largo plazo, las empresas deben aplicar listas blancas de extensiones para navegadores de administrador y examinar detenidamente cualquier complemento que ofrezca raspado, omisión de verificación o generación de 2FA en el navegador para plataformas de alto valor.