افزونه مخرب Edge از Native Messaging به عنوان پلی برای بدافزار سوءاستفاده می‌کند

یک افزونه مخرب مایکروسافت اج (Microsoft Edge) با نام «Edgecution» در یک حمله باج‌افزاری (ransomware) مورد استفاده قرار گرفته که قادر است از محیط ایزوله مرورگر (browser sandbox) فرار کرده و یک درب پشتی (backdoor) مبتنی بر پایتون را مستقر کند. این بدافزار از پروتکل پیام‌رسانی بومی کروم (Chrome Native Messaging) بهره می‌برد تا با اپلیکیشن‌های دسکتاپ تعامل داشته باشد و به این ترتیب محدودیت‌های سندباکس مرورگر را دور بزند. محققان شرکت امنیت ابری Zscaler معتقدند این بدافزار توسط یک کارگزار دسترسی اولیه (initial access broker) مرتبط با عملیات باج‌افزاری «Payouts Kings» به‌کار گرفته می‌شود. حمله با جعل هویت پرسنل پشتیبانی فناوری اطلاعات در مایکروسافت تیمز (Microsoft Teams) آغاز می‌شود و کارمندان را به صفحات جعلی هدایت می‌کند که در آن‌ها دکمه‌های دانلود به‌روزرسانی‌های ساختگی، اسکریپت‌های مخرب را اجرا یا اطلاعات ورود به Microsoft 365 را سرقت می‌کنند.

افزونه مخرب که به‌عنوان «Edge Monitoring Agent» پنهان شده، در یک مرورگر اج بدون رابط کاربری (headless browser) اجرا می‌شود و با یک درب پشتی پایتونی در سطح سیستم ارتباط برقرار می‌کند. این درب پشتی قادر است دستورات شل را اجرا کند، کدهای پاورشل و پایتون را بدون محدودیت اجرا نماید، فایل‌ها را روی سیستم بنویسد و اطلاعات سیستم را جمع‌آوری کند. Zscaler هشدار داده که این روش «پیچیدگی روزافزون» عوامل تهدید مرتبط با باج‌افزارها را نشان می‌دهد و توصیه می‌کند سازمان‌ها نظارت بر افزونه‌های مرورگر را تقویت کرده و کنترل‌های سختگیرانه‌ای بر پیکربندی‌های میزبان پیام‌رسانی بومی (native messaging host) اعمال کنند.