<?xml version="1.0" encoding="UTF-8"?><rss version="2.0"
	xmlns:content="http://purl.org/rss/1.0/modules/content/"
	xmlns:wfw="http://wellformedweb.org/CommentAPI/"
	xmlns:dc="http://purl.org/dc/elements/1.1/"
	xmlns:atom="http://www.w3.org/2005/Atom"
	xmlns:sy="http://purl.org/rss/1.0/modules/syndication/"
	xmlns:slash="http://purl.org/rss/1.0/modules/slash/"
	>

<channel>
	<title>Malware &#8211; Berd&#039;s Playground (Deprecated)</title>
	<atom:link href="/tags/malware/feed/" rel="self" type="application/rss+xml" />
	<link>/</link>
	<description>Won&#039;t receive any further updates.</description>
	<lastBuildDate>Tue, 29 Jun 2021 01:02:32 +0000</lastBuildDate>
	<language>en-US</language>
	<sy:updatePeriod>
	hourly	</sy:updatePeriod>
	<sy:updateFrequency>
	1	</sy:updateFrequency>
	<generator>https://wordpress.org/?v=5.8</generator>

<image>
	<url>/wp-content/uploads/2019/05/icon.png</url>
	<title>Malware &#8211; Berd&#039;s Playground (Deprecated)</title>
	<link>/</link>
	<width>32</width>
	<height>32</height>
</image> 
	<item>
		<title>Chrome 恶意拓展 ModHeader 分析笔记</title>
		<link>/archives/chrome-malware-extension-modheader/</link>
		
		<dc:creator><![CDATA[FENGberd]]></dc:creator>
		<pubDate>Mon, 02 Nov 2020 15:25:40 +0000</pubDate>
				<category><![CDATA[技术]]></category>
		<category><![CDATA[Chrome]]></category>
		<category><![CDATA[Malware]]></category>
		<guid isPermaLink="false">/?p=849</guid>

					<description><![CDATA[0x00 前言 一些废话就不说了, 见 Chrome 恶意拓展 User-Agent Switcher 分析笔记 拓展ID: idgpnmonknjnojddfkpgkljpfnnfcklj 这次也是例行流量审查抓到的，拓展更新时间为 2020/10/31，还好没造成什么大危害 真是万圣节惊喜 0x01 恶意行为 代码提取就不赘述了，参见上一篇分析文章，这里直接分析拓展的恶意行为 首先我观察了一下拓展的行为，禁用拓展并重启 Chrome 后首次启用拓展会观察到网络连接，此时没有打开任何标签页，于是可以判定恶意代码位于背景视图中 一样的从 manifest.json 直接追进 Background Script，搜索恶意域名，发现拓展在一定条件下会尝试连接三个服务器，我们先不管条件来看看连接部分 连上服务器后，拓展发送了一个看似人畜无害的数据请求，只发了一些简单的拓展信息，很像在检查更新 但是我们追到下面的 r.onmessage 中就能看出一些不正常的行为了 首先拓展会从服务器接收指令，然后收到下发的指令后似乎可以发起请求以及停止这些请求，这看起来就已经很吓人了 让我们追进具体的逻辑看一下。在服务端的控制下，拓展可以向指定的 URL 带上指定的 Payload 发送一个 HTTP 请求，然后返回头会被第二个红框的部分进行处理，带上 (可能重定向过的) 最终 URL 信息 随后，Body 数据被传到下一个 Handler 里进行处理，在此处将所有信息发回给服务端 不过还好，由于带上了 mode: "cors"，这整一套逻辑似乎只能进行不带本地凭据的 HTTP 请求，因此暂时没有严重的数据泄露风险 表面上看，这套逻辑带来的危害就是拓展用户会被当成一个代理服务器来利用，可能会给攻击者带来出售代理的收益。怎么说呢，比偷数据好很多吧&#8230; 但还需注意: 这个 mode: "cors" [&#8230;]]]></description>
		
		
		
			</item>
		<item>
		<title>Chrome 恶意拓展 User-Agent Switcher 分析笔记</title>
		<link>/archives/chrome-spyware-extension-user-agent-switcher/</link>
		
		<dc:creator><![CDATA[FENGberd]]></dc:creator>
		<pubDate>Tue, 27 Oct 2020 10:10:17 +0000</pubDate>
				<category><![CDATA[技术]]></category>
		<category><![CDATA[Chrome]]></category>
		<category><![CDATA[GoogleSucks]]></category>
		<category><![CDATA[Malware]]></category>
		<category><![CDATA[Reverse]]></category>
		<guid isPermaLink="false">/?p=838</guid>

					<description><![CDATA[0x00 前言 今天在例行审查本机流量的时候发现 Chromium 在启动的时候请求了一个奇怪的域名: www.useragentswitch.com, 我的第一反应是可能拓展在检查更新或者进行用户量统计, 但仔细一想以前是没这种请求的, 就访问一下这个域名 结果发现这是个空页面, 于是又转到 Chrome 应用商店准备看看评论区怎么说 看到这个 404, 这事就麻烦了, 很可能是拓展包含恶意代码被移除了. 下面对拓展代码进行审查. 0x01 文件提取 对于一个被移除的拓展, 一般我们是不能用各种下载器下载到 crx 的. 不过我们可以简单的从本地数据目录里直接提取. 转到 %localappdata%\Chromium\User Data\Default\Extensions 中寻找我们要提取的拓展 ID clddifkhlkcojbojppdojfeeikdkgiae, 再往下一级就是拓展的各种文件了 0x02 代码分析 拿到文件后先把各个 JS 丢去格式化一下, 然后逐个审查. 首先我去对比了一下 bootstrap.min.js 和 jquery.min.js, 看起来里面是没有藏恶意代码的. 接下来就看看 Background Script 在干什么吧. 我知道因为代码不多, 把所有文件分析一遍也是不难的, 但顺着 Manifest 往下找应该是最简便的方法, 拿这个点抬杠大可不必. 从 Manifest [&#8230;]]]></description>
		
		
		
			</item>
	</channel>
</rss>
