Una nueva amenaza que convierte el navegador en una puerta trasera
Recientemente se ha identificado una sofisticada campaña de ciberataque que utiliza una extensión maliciosa para Microsoft Edge, denominada ‘Edgecution’. Lo que hace que este ataque sea particularmente peligroso no es solo su capacidad para robar datos, sino su técnica para escapar del sandbox (entorno seguro) del navegador y tomar control del sistema operativo del usuario.
Este ataque ha sido vinculado a intermediarios de acceso inicial (IAB) relacionados con la operación de ransomware Payouts Kings, demostrando que los actores de amenazas están perfeccionando sus métodos para infiltrarse en redes corporativas a través de herramientas de uso diario.
El abuso de ‘Native Messaging’: El puente hacia el sistema
El núcleo técnico de esta amenaza reside en el abuso del protocolo Chrome Native Messaging. En condiciones normales, este protocolo permite que las extensiones del navegador interactúen de forma legítima con aplicaciones de escritorio (por ejemplo, un gestor de contraseñas que comunica la extensión con la aplicación instalada en Windows).
Sin embargo, ‘Edgecution’ utiliza este puente para lanzar procesos fuera del control del navegador. Al ejecutarse en una instancia de Edge en modo headless (invisible para el usuario), la extensión se comunica con un componente local basado en Python que actúa como una puerta trasera (backdoor) de nivel de host. Esto permite a los atacantes:
- Ejecutar comandos de shell y scripts de PowerShell.
- Escribir y modificar archivos en el disco duro.
- Enumerar procesos activos y recopilar información sensible del sistema.
- Establecer persistencia para futuros ataques de ransomware.
Ingeniería social: El primer paso del engaño
El compromiso no comienza con una vulnerabilidad técnica, sino con ingeniería social. Los atacantes suelen hacerse pasar por personal de soporte técnico a través de Microsoft Teams, dirigiendo a los empleados a páginas fraudulentas que simulan ser consolas de actualización de Microsoft Outlook.
Bajo la premisa de instalar un «filtro de spam» o una «verificación de software», se induce al usuario a descargar un archivo ZIP malicioso. Este archivo contiene una versión embebida de Python y los componentes necesarios para configurar la extensión maliciosa y el ejecutor nativo, evadiendo incluso algunos productos de seguridad tradicionales mediante el uso de cabeceras de archivo malformadas.
Recomendaciones de seguridad para empresas
Desde el equipo de ciberseguridad de Intedya, enfatizamos que la protección del navegador es hoy tan crítica como la del propio servidor. Para mitigar este riesgo, recomendamos:
- Control estricto de extensiones: Implementar políticas de grupo (GPO) para permitir únicamente extensiones de fuentes confiables y aprobadas por el departamento de IT.
- Monitoreo de Native Messaging: Supervisar las configuraciones de los hosts de mensajería nativa en los registros del sistema para detectar entradas no autorizadas.
- Formación en Ingeniería Social: Concienciar a los empleados sobre los riesgos de recibir instrucciones de soporte técnico no solicitadas a través de plataformas de mensajería interna como Teams.
- Seguridad de Punto Final (EDR): Utilizar soluciones de detección y respuesta que puedan identificar comportamientos anómalos, como navegadores lanzando procesos de Python o scripts de PowerShell inesperados.
Fuentes
- Bleeping Computer — Malicious Edge extension abuses Native Messaging as bridge to malware
https://www.bleepingcomputer.com/news/security/malicious-edge-extension-abuses-native-messaging-as-bridge-to-malware/