Всем привет! 💻✌️

Атакующие загружали вредоносные расширения в браузер для кражи данных

👨‍💻 Как это работает?

В Chromium-based браузерах ранее поддерживался аргумент командной строки --load-extension, который позволял запускать браузер с указанием пути к расширению
Позднее данный аргумент был скрыт, однако его всё ещё можно было использовать, если отключить соответствующее ограничение с помощью флага:

--disable-features=DisableLoadExtensionCommandLineSwitch

Таким образом, атакующие могли перезапускать Chrome или Edge с уже загруженным вредоносным расширением без необходимости установки через официальный магазин

В актуальных версиях Chromium данный способ уже не работает

🔭 Обнаружение:

🔤 Хантим аргументы командной строки

ProviderName="Microsoft-Windows-Sysmon" and EventId=1 and Image endswith "chrome.exe" and CommandLine contains "--load-extension"

#detection@detectioneasy
#ttp@detectioneasy