PEEP, una extensión maliciosa de Chrome que se hace pasar por Smart Bookmarks, tiene la capacidad de robar sesiones de inicio de sesión activas y convertir computadoras con Windows ya comprometidas en una puerta trasera remota. Este hallazgo demuestra que un complemento del navegador puede ser mucho más peligroso que un simple ladrón de datos cuando logra acceder al sistema operativo.

PEEP, una extensión maliciosa de Chrome que se hace pasar por Smart Bookmarks, puede robar sesiones de inicio de sesión activas y convertir una computadora con Windows ya comprometida en una puerta trasera remota.

El hallazgo muestra cómo un complemento del navegador puede volverse mucho más peligroso que un simple ladrón de datos cuando logra obtener una vía de acceso al sistema operativo.

El conjunto de herramientas no parece proporcionar su propia vía de entrada al dispositivo. En su lugar, los atacantes necesitan una ejecución de código previa o acceso administrativo, para luego colocarlo silenciosamente en los perfiles de Chrome o Edge.

Sus instaladores pueden alterar la configuración del navegador para que la extensión se ejecute sin las comprobaciones habituales de la tienda, los avisos de aprobación o las advertencias visibles.

Los analistas de SOCRadar identificaron la operación como PEEP, un conjunto de herramientas post-compromiso basado en Chromium y derivado del proyecto de código abierto RedExt.

SOCRadar afirmó en un informe que los investigadores encontraron una versión principal disfrazada de Smart Bookmarks, versión 1.3.0, junto con una variante de prueba relacionada y un repositorio de desarrollo expuesto.

La escala del impacto confirmado en las víctimas sigue siendo incierta. Una instantánea del estado del servidor registró 34 entradas de agentes, 10 sesiones activas y 507 registros de datos, pero los identificadores de prueba significan que esas cifras no pueden probar el número de dispositivos infectados.

Aun así, el diseño crea un riesgo grave porque las cookies de sesión robadas pueden permitir que un intruso acceda a cuentas sin necesitar la contraseña nuevamente.

Extensión Maliciosa de Chrome

Una vez activa, PEEP se ejecuta dentro del navegador y solicita un acceso amplio a pestañas, cookies, historial, marcadores, descargas, configuración del navegador, scripting y a todos los sitios web.

Recopila el historial de navegación, detalles de las pestañas abiertas, cookies de sesión, datos de formularios, contenidos del portapapeles, capturas de pantalla y almacenamiento local o de sesión, creando una vista amplia de la actividad en línea de la víctima.

La capacidad de robo de sesiones es especialmente preocupante porque una cookie válida demuestra que un usuario ya ha iniciado sesión.

Como se explica en esta guía sobre los riesgos de las cookies del navegador robadas, un atacante que obtiene ese token puede ser capaz de reutilizar una sesión activa y saltarse una posterior solicitud de contraseña o de MFA hasta que la sesión sea revocada.

PEEP también acepta comandos para abrir páginas, inyectar JavaScript, cambiar la configuración del proxy y capturar el contenido de las páginas. Contacta con su servidor de comando a intervalos regulares utilizando HTTP sin cifrar, lo que permite al operador enviar tareas y recibir los datos recopilados.

Ese comportamiento se asemeja a otras campañas de complementos de navegador maliciosos que abusan de las extensiones para monitorear actividad sensible.

El puente de mensajería nativa es lo que cambia la amenaza de un monitoreo del navegador a un control del host. La extensión del navegador puede llamar a un programa complementario de Windows, permitiendo comandos de shell, operaciones de archivos y el descubrimiento de procesos y servicios en ejecución bajo la cuenta de usuario actual.

La persistencia dificulta la limpieza

PEEP utiliza varios métodos para permanecer instalado. Sus scripts pueden falsificar los valores de integridad de Chrome Secure Preferences, utilizar políticas de instalación forzada empresarial o realizar un "sideload" de la extensión.

También puede explotar un fallback de ScriptCache, dejando archivos fuente aparentemente inofensivos mientras Chrome recarga un service worker malicioso previamente compilado.

Ese enfoque por capas significa que eliminar solo la extensión visible puede no ser suficiente. Los equipos de seguridad deben identificar los IDs de extensión listados, eliminar el host de mensajería nativa asociado y los artefactos locales, y revisar las políticas del navegador y las entradas del registro.

El hallazgo sigue a casos anteriores en los que una puerta trasera de host de mensajería nativa convirtió a Chrome en una ruta para el control a nivel de dispositivo.

Las organizaciones deberían bloquear la infraestructura identificada, restringir el tráfico a los servicios expuestos e investigar los procesos del navegador o la actividad de PowerShell que modifique los archivos Secure Preferences.

El uso de listas blancas estrictas de extensiones, la desactivación del modo desarrollador, las restricciones al sideloading externo y la aprobación únicamente de hosts de mensajería nativa confiables pueden reducir la probabilidad de que una instalación similar tenga éxito.

Tú, como defensor, deberías tratar una sospecha de infección por PEEP tanto como un incidente de endpoint como de identidad. Elimina el malware, finaliza las sesiones activas, rota las credenciales afectadas y examina la actividad de la cuenta en busca de usos indebidos.

El MFA resistente al phishing y las protecciones del navegador para las credenciales almacenadas añaden una fricción útil, mientras que los recientes ataques a la cadena de suministro de extensiones de Chrome muestran por qué cada complemento instalado merece una revisión cuidadosa y continua.