Se ha descubierto una nueva y engañosa campaña de malware, una que convierte una extensión de navegador común en una herramienta peligrosa para comprometer el sistema.

Investigadores de seguridad han identificado una amenaza que utiliza una extensión maliciosa de Microsoft Edge para saltarse los límites de seguridad integrados del navegador, otorgando a los atacantes acceso directo al ordenador de la víctima.

La campaña ha sido vinculada a un agente de acceso inicial con nexos al grupo de ransomware Payouts King, lo que plantea serias preocupaciones sobre cuánto han evolucionado los ataques basados en navegadores en los últimos años.

Lo que hace que esta campaña destaque es cómo logran entrar los atacantes. Contactan con las víctimas a través de mensajes de Microsoft Teams, donde alguien fingiendo ser personal de TI les dice que necesitan una actualización del filtro de spam.

Luego, se redirige a la víctima a un sitio web falso de Microsoft que ofrece botones de descarga etiquetados como paquetes de actualización de Outlook, todo diseñado para desplegar silenciosamente el malware en la máquina objetivo sin activar ninguna alarma inmediata.

Analistas de Zscaler ThreatLabz han estado siguiendo de cerca esta campaña y han nombrado al malware “Edgecution”.

Según el informe de Zscaler, el malware fue construido basándose en un diseño de dos partes que trabajan juntas para dar al atacante el control total sobre el sistema de la víctima.

Ninguna de las dos partes por sí sola activaría muchas alertas, pero juntas forman una puerta trasera capaz y difícil de detectar.

El sitio de actualizaciones falso ofrece a las víctimas tres formas de activar la infección, incluyendo un script de AutoHotKey, un script de lotes de Windows y un script de PowerShell.

Sea cual sea la ruta elegida, el resultado es el mismo: se lanza un navegador Microsoft Edge oculto en segundo plano, cargando silenciosamente la extensión maliciosa sin previo aviso al usuario.

La máquina infectada queda ahora bajo el control del atacante mientras tú, como víctima, no ves nada inusual en tu pantalla.

Una vez activo, Edgecution permite al atacante recopilar datos del sistema, explorar los archivos de la víctima, ejecutar comandos arbitrarios y ejecutar PowerShell en la máquina.

Esta campaña muestra claramente cómo la ingeniería social combinada con el abuso del navegador puede evadir los controles de seguridad tradicionales de formas que son muy difíciles de detectar en tiempo real.

La extensión maliciosa de Edge utiliza la mensajería nativa de Chrome

El protocolo de mensajería nativa de Chrome fue diseñado para permitir que las extensiones del navegador se comuniquen con aplicaciones confiables ya presentes en el dispositivo del usuario.

Edgecution abusa de esta función para pasar comandos desde la extensión directamente a una puerta trasera basada en Python que se ejecuta en el host, permitiendo que el atacante se mueva completamente fuera del "sandbox" (entorno aislado) del navegador.

Ese sandbox normalmente está ahí para evitar que cualquier extensión toque el sistema operativo en general.

Los scripts de configuración crean un manifiesto de mensajería nativa que registra una aplicación falsa llamada “Edge Monitoring Agent”, indicando al navegador que puede enviar mensajes al script de Python en la máquina de la víctima.

La extensión utiliza la llamada a la API de Chrome chrome.runtime.sendNativeMessage para retransmitir comandos desde el servidor C2 del atacante directamente a esa puerta trasera.

Desde allí, la puerta trasera realiza trabajos maliciosos que van mucho más allá de lo que cualquier extensión de navegador estándar debería ser capaz de hacer.

La puerta trasera de Python y las técnicas de evasión detrás de Edgecution

La puerta trasera de Python soporta comandos que incluyen la ejecución de shell, escritura de archivos, ejecución de PowerShell, listado de procesos y la ejecución de código Python personalizado enviado por el atacante.

Lee cada comando en formato JSON, lo procesa, envía una respuesta y se apaga hasta que llegue el siguiente comando. Este patrón de corta duración le ayuda a evitar las herramientas de seguridad que buscan procesos sospechosos persistentes.

Para borrar sus huellas, el malware almacena una clave de descifrado en el registro de Windows, sin la cual las cadenas de texto de la puerta trasera permanecen cifradas.

La extensión se ejecuta en una ventana de Edge "headless" (sin interfaz gráfica) invisible para el usuario, y todo el tráfico C2 pasa a través de subdominios de Amazon CloudFront, dándole la apariencia de actividad normal de la nube.

Zscaler recomienda que las organizaciones monitoreen cuidadosamente las instalaciones de extensiones de navegador y apliquen controles estrictos sobre las configuraciones de los hosts de mensajería nativa.

La formación del usuario es igualmente crítica para ayudarte a reconocer mensajes sospechosos que suplantan al personal interno de TI.

Una postura de defensa en capas sigue siendo la protección más fiable contra campañas como Edgecution que mezclan la ingeniería social con métodos de entrega técnicamente avanzados.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios están intencionadamente desactivados (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.