PEEP convierte Chrome y Edge en puertas traseras posteriores a la intrusión para la ejecución de comandos del host.

Investigadores de ciberseguridad han revelado detalles de un complejo kit de herramientas de post-explotación basado en Chromium llamado PEEP, que se disfraza como una extensión de marcadores para el navegador web.

"Requiriendo acceso administrativo o de ejecución de código previo, su instalador inyecta la extensión directamente en los perfiles de Chrome/Edge, eludiendo las comprobaciones de la Chrome Web Store y las solicitudes de confirmación del usuario mediante la falsificación de los valores de integridad de las Preferencias Seguras de Chromium", afirmó SOCRadar. "Una herramienta de mensajería nativa extiende posteriormente esta funcionalidad más allá de la telemetría del navegador, permitiendo la ejecución de comandos a nivel de host y la gestión de archivos".

Una vez instalado, el agente de la "extensión" PEEP consulta a su servidor de comando y control (C2) ("206.237.30[.]232" o "xfjcc[.]fun") cada 30 segundos a través de HTTP sin cifrar para obtener nuevos comandos, mientras extrae el historial de navegación, los metadatos de las pestañas activas y las cookies de sesión. También funciona como un conjunto de herramientas de acceso remoto y monitorización del navegador que ejecuta comandos del host, roba credenciales, secuestra sesiones y modifica páginas web.