PEEP convierte Chrome y Edge en una puerta trasera para ejecutar comandos
El kit, camuflado como extensión de marcadores, falsea Secure Preferences y usa mensajería nativa para saltar del navegador al sistema.
Investigadores de SOCRadar han identificado un kit de post-explotación llamado PEEP que convierte Chrome y Edge en puertas traseras persistentes. El malware se camufla como una extensión de marcadores, Smart Bookmarks (ID ejkndncpkdcjcikfhiamcdehdoegilbj), y permite ejecutar comandos a nivel de host y controlar el navegador de forma remota una vez el equipo ya está comprometido.
PEEP no incluye un vector de acceso inicial; el atacante tiene que haberse hecho antes con privilegios de administrador o capacidad de ejecución de código. Según explica SOCRadar, su instalador inyecta la extensión directamente en los perfiles de Chrome y Edge sin pasar por la Web Store. Falsifica los valores de integridad de Secure Preferences de Chromium, de modo que el navegador la acepta como propia y no muestra avisos al usuario. Un host de mensajería nativa (nm_host.exe) da el salto del navegador al sistema operativo: permite lanzar comandos de shell, gestionar archivos y enumerar procesos y servicios.
Para persistir, PEEP modifica el archivo Secure Preferences y fuerza la auto-activación de la extensión al arrancar el navegador. También abusa de políticas empresariales como ExtensionInstallForcelist o ExtensionSettings, junto con técnicas de carga lateral. Tres scripts PowerShell facilitan el trabajo: install_silent.ps1, patch_secure_prefs.ps1 y force_enable.ps1. Este último coloca el CRX en %LOCALAPPDATA%\PEEP\crx, re-registra la extensión en el registro y reinicia el navegador. La existencia de patch_secure_prefs_linux.py sugiere que el mismo mecanismo se está preparando para entornos Linux.
La comunicación con el centro de mando se produce cada 30 segundos a través de HTTP en claro hacia 206.237.30[.]232 o xfjcc[.]fun; en el registro de este dominio en VirusTotal no se ve precisamente buena reputación. El panel C2 expone endpoints como /api/register, /api/agents/<id>/heartbeat, /api/extension_update, /api/task_result y /api/exfil. La exfiltración automática recoge historial, cookies, pestañas abiertas, IP pública, locale y zona horaria. Las capturas de pantalla, el portapapeles o la inyección de JavaScript se ejecutan localmente en el navegador; cuando la tarea requiere acceso a Windows, se invoca al binario nm_host.exe.
PEEP deriva de RedExt, un marco de código abierto para análisis de datos de navegador y operaciones de red team que ya se utilizó en los ataques GlassWorm. Frente al proyecto original, PEEP incorpora rutinas propias de instalación, un puente nativo, telemetría de latido, canal de actualización y un conjunto de comandos más amplio. La autoría sigue sin atribuirse con certeza, aunque la presencia de artefactos en chino dentro del código apunta a un actor de habla china.
En el panel de control, el endpoint /health, que no tiene protección con contraseña, muestra 34 entradas de agente, 10 sesiones activas y 507 registros de datos; SOCRadar advierte de que es imposible distinguir entre víctimas reales, pruebas y despliegues verificados. También aparecen referencias a "Authorized CTF", probablemente un intento de sortear las salvaguardas de los asistentes de IA a la hora de generar código malicioso.
Lo más relevante de PEEP es que el código malicioso corre dentro del proceso firmado del navegador, por lo que escapa a los mecanismos de detección que vigilan binarios nuevos o sin firmar. Con el navegador como pivote, el atacante roba credenciales, secuestra sesiones y ejecuta comandos en el sistema. Para el administrador, la conclusión práctica es que la seguridad del endpoint pasa también por auditar qué extensiones están cargadas y por detectar si Secure Preferences ha sido manipulado.
