Un'estensione malevola per Microsoft Edge, battezzata Edgecution, è stata usata per aggirare le protezioni del browser e installare una backdoor scritta in Python su sistemi Windows compromessi. La scoperta è dei ricercatori di Zscaler ThreatLabz, che attribuiscono la campagna a un broker di accesso iniziale collegato all'operazione ransomware Payouts King. Il caso è interessante perché non sfrutta una vulnerabilità del software, ma piega a fini offensivi una funzionalità del tutto legittima dei browser basati su Chromium.
Dalla finta assistenza IT alla compromissione
La catena d'attacco comincia con un classico schema di social engineering. L'aggressore si presenta come personale di supporto informatico su Microsoft Teams e induce la vittima a visitare una pagina web fraudolenta, costruita con grafica e marchi Microsoft, con il pretesto di installare un aggiornamento del filtro antispam o di gestire un aggiornamento di Outlook. È un copione ormai ricorrente: sfruttare la fiducia verso l'IT aziendale per convincere l'utente a compiere da solo il passo decisivo, cioè l'installazione dell'estensione.
L'abuso del Native Messaging
Il cuore tecnico della vicenda sta nel modo in cui Edgecution evade la sandbox del browser. Le estensioni, infatti, operano normalmente all'interno di un ambiente isolato che ne limita fortemente le possibilità di interazione con il sistema operativo. Per superare questo confine, l'estensione sfrutta il protocollo Native Messaging di Chromium, pensato per consentire a un'estensione di dialogare con un'applicazione nativa installata sulla macchina. In questo caso l'applicazione nativa con cui l'estensione comunica è proprio la backdoor in Python, che funge da esecutore a livello di host: il browser resta il punto d'ingresso, ma l'azione vera e propria si svolge fuori dalla sandbox, con i privilegi dell'utente.
Una volta attiva, la backdoor mette nelle mani dell'attaccante un set di capacità tipico degli strumenti di controllo remoto: esecuzione di comandi di shell e di PowerShell, esecuzione di codice Python, scrittura di file su disco, enumerazione dei processi in corso e raccolta di informazioni di sistema. Funzioni più che sufficienti per consolidare la presenza, muoversi nell'ambiente e preparare le fasi successive, fino al rilascio del ransomware.
Perché conta
Edgecution è la fotografia di una tendenza che si sta consolidando: gli operatori ransomware abbandonano sempre più il malware "tradizionale" per appoggiarsi a componenti legittimi del sistema, dalle funzioni dei browser agli interpreti già presenti sulla macchina. È una scelta che riduce i segnali sospetti e complica il lavoro delle soluzioni di sicurezza, abituate a riconoscere binari malevoli più che usi distorti di strumenti affidabili.
Sul piano difensivo, il primo presidio resta la consapevolezza degli utenti: nessun reparto IT serio chiede di installare estensioni o "aggiornamenti" tramite messaggi diretti su Teams o pagine esterne. Sul piano tecnico, è utile limitare con criterio l'installazione delle estensioni tramite policy aziendali, monitorare l'uso anomalo del Native Messaging e degli interpreti come Python e PowerShell, e trattare con sospetto qualunque richiesta di assistenza non sollecitata che arrivi attraverso canali di messaggistica.
