PEEP trasforma Chrome ed Edge in backdoor persistenti dopo la compromissione di un host

I ricercatori di cybersecurity hanno documentato PEEP, un framework di post-exploitation che integra funzionalità di sorveglianza, furto di dati e controllo remoto in Google Chrome e Microsoft Edge. Si presenta come un'estensione del browser chiamata «Smart Bookmarks», ma le sue funzioni vanno ben oltre il browser.

PEEP non è uno strumento per ottenere l'accesso iniziale. Gli attaccanti devono prima acquisire privilegi amministrativi oppure eseguire codice attraverso un altro meccanismo. Una volta distribuito, il framework può rubare cookie e credenziali, monitorare la navigazione, modificare le pagine web ed eseguire comandi sul sistema operativo sottostante.

I risultati sono stati resi pubblici il 7 settembre 2026. Non sono state identificate vittime confermate, organizzazioni interessate o un operatore riconducibile con certezza all'attività.

Un'estensione malevola supportata da un host nativo

Il componente principale di PEEP è un'estensione Chromium con il seguente identificativo:

ejkndncpkdcjcikfhiamcdehdoegilbj

L'estensione prende di mira i profili di Chrome ed Edge, anche se non sono state rese note le versioni esatte dei browser interessate. Poiché viene installata dopo la compromissione dell'endpoint, l'operazione non dipende dallo sfruttamento di una vulnerabilità nota del browser.

Il componente browser interroga periodicamente l'infrastruttura di comando e controllo, raccoglie artefatti di navigazione, riceve attività e restituisce i risultati. Può eseguire direttamente nel contesto del browser diverse azioni, tra cui:

• Leggere la cronologia di navigazione e le informazioni sulla scheda attiva
• Rubare cookie, credenziali e dati di sessione
• Acquisire il contenuto degli appunti e schermate
• Iniettare JavaScript nelle pagine attive
• Modificare i contenuti web
• Monitorare gli URL e l'attività del browser
• Scaricare gli aggiornamenti dell'estensione dall'infrastruttura dell'operatore

Uno script content.js viene iniettato nelle pagine web attive, dando all'estensione visibilità sui contenuti caricati dall'utente e la possibilità di controllarli.

Per le operazioni al di fuori del browser, PEEP utilizza il meccanismo Native Messaging di Chromium. L'eseguibile associato è indicato come:

com.peep.lab/nm_host.exe

Questo ponte consente all'estensione di avviare comandi shell, gestire file ed enumerare processi e servizi. Di fatto, trasforma un componente aggiuntivo malevolo del browser in un meccanismo di accesso remoto all'host.

L'architettura complica inoltre il rilevamento. Gran parte della logica malevola viene eseguita all'interno di un processo browser legittimo e firmato; di conseguenza, i controlli di sicurezza concentrati soprattutto sugli eseguibili non firmati o sui processi autonomi sconosciuti potrebbero non rilevare attività critiche. L'host nativo resta un punto di rilevamento importante, soprattutto quando Chrome o Edge avviano in modo imprevisto interpreti di comandi o utilità di sistema.

Da RedExt a una piattaforma di post-exploitation più ampia

PEEP deriva da RedExt, un framework open source progettato per l'analisi dei dati del browser e per le operazioni di red team. RedExt è comparso anche negli attacchi GlassWorm.

Il nuovo framework conserva parte di questa base, ma introduce funzionalità pensate per mantenere l'accesso nel tempo. Tra queste figurano procedure di distribuzione automatizzate, telemetria heartbeat, aggiornamenti dell'estensione, un ponte Native Messaging e un set di comandi più ampio.

La distinzione è importante dal punto di vista operativo. Un'estensione malevola di base potrebbe raccogliere una volta sola i dati del browser e inviarli all'attaccante. PEEP stabilisce invece un canale ricorrente per la gestione delle attività, comunica continuamente informazioni sull'ambiente infetto e accetta nuove istruzioni.

Dopo l'inizializzazione, l'estensione legge i dati di configurazione che contengono le impostazioni di comando e controllo. Contatta quindi il server ogni 30 secondi tramite HTTP non cifrato.

Gli endpoint osservati includono:

Percorso	Scopo
/api/register	Registra un nuovo agente
/api/agents/<id>/heartbeat	Comunica User-Agent, sistema operativo e fuso orario
/api/commands	Recupera le attività in sospeso
/api/agents/<id>/task_result	Carica i risultati dei comandi
/api/exfil	Invia i dati raccolti dal browser e dall'host
/api/extension_update/	Verifica la disponibilità di aggiornamenti dell'estensione
/api/extension_crx/	Scarica il pacchetto CRX
/health	Espone informazioni sullo stato del sistema senza autenticazione
/login	Fornisce accesso al pannello di controllo sulla porta 5001

I dati inviati a /api/exfil possono includere cookie, cronologia recente, schede aperte, URL attivo, indirizzo IP pubblico, impostazioni locali e fuso orario.

Gli indicatori di comando e controllo identificati sono:

206.237.30[.]232
xfjcc[.]fun

L'intervallo di polling fisso, le comunicazioni in chiaro e i percorsi API distintivi offrono ai difensori diverse opportunità di rilevamento basato sulla rete.

La manipolazione delle preferenze del browser garantisce la persistenza

PEEP non viene distribuito tramite Chrome Web Store o un altro marketplace ufficiale delle estensioni. Le procedure di distribuzione aggirano invece i normali controlli di installazione delle estensioni tramite sideloading, policy aziendali e modifica diretta dei dati dei profili Chromium.

Una tecnica centrale prende di mira il file Secure Preferences del browser. L'installer modifica le impostazioni dell'estensione e falsifica i valori delle preferenze relativi all'integrità, così che Chrome o Edge abiliti automaticamente il componente aggiuntivo senza il normale processo di convalida o l'approvazione dell'utente.

Il framework può inoltre sfruttare:

• ExtensionInstallForcelist
• ExtensionSettings
• Policy di installazione forzata in stile enterprise
• Sideloading diretto dell'estensione
• Un fallback ScriptCache

Diversi script di distribuzione mostrano come vengono gestite l'installazione e il ripristino:

• install_silent.ps1 abilita la Modalità sviluppatore per consentire il sideloading arbitrario.
• patch_secure_prefs.ps1 modifica il file Secure Preferences.
• force_enable.ps1 rimuove l'estensione dalla sezione external_uninstalls, memorizza un CRX in %LOCALAPPDATA%PEEPcrx, crea le registrazioni dell'estensione e riavvia il browser.

Lo script finale utilizza sia la chiave di registro HKCU Extensions sia un manifest JSON External Extensions. In questo modo l'operatore dispone di più modalità per ripristinare l'estensione se Chromium la disabilita o la rimuove.

I ricercatori hanno inoltre identificato patch_secure_prefs_linux.py, indice del lavoro per adattare la distribuzione a Linux. L'entità del supporto per Linux resta sconosciuta e non sono state confermate vittime Linux.

Le sessioni rubate possono sopravvivere alla modifica delle password

L'impatto di PEEP non si limita all'esposizione della cronologia di navigazione. I cookie di sessione possono consentire a un attaccante di impersonare un utente sui servizi presso i quali l'autenticazione è già avvenuta, aggirando potenzialmente la necessità immediata di conoscere la password dell'account.

Le funzionalità di iniezione JavaScript e modifica delle pagine del framework introducono ulteriori rischi. Un operatore potrebbe alterare i contenuti visualizzati nel browser, raccogliere i dati inseriti nelle pagine web o manipolare una sessione autenticata. Nel frattempo, l'host nativo può estendere l'intrusione a file, processi in esecuzione, servizi e operazioni shell.

Questa combinazione supporta diversi obiettivi successivi alla compromissione:

• Furto di credenziali e sessioni
• Acquisizione degli account
• Sorveglianza del browser
• Ricognizione dell'host
• Manipolazione dei file
• Esecuzione remota di comandi
• Accesso persistente e aggiornamento degli strumenti

Secondo quanto riferito, l'endpoint /health elencava 34 voci di agenti, 10 sessioni attive e 507 record di dati. Questi numeri non stabiliscono l'entità di una campagna attiva. Potrebbero includere sistemi di test, record di sviluppo o voci duplicate, e i ricercatori non hanno potuto verificarli come infezioni reali.

A PEEP non sono associati CVE, punteggio CVSS, valutazioni di gravità dei fornitori o patch ufficiali. Si tratta di un malware che, dopo una compromissione, sfrutta funzionalità legittime di amministrazione del browser e Native Messaging, non di una vulnerabilità software divulgata. Di conseguenza, non esiste una voce pertinente nel catalogo CISA Known Exploited Vulnerabilities né una scadenza di remediation KEV.

L'attribuzione resta irrisolta

L'operazione non è stata collegata a un gruppo di minacce noto. Nel codice sorgente compaiono elementi in lingua cinese, che potrebbero indicare uno sviluppatore o un operatore di lingua cinese, ma non sono sufficienti per attribuire l'attività.

Il codice contiene inoltre diversi riferimenti ad attività «Authorized CTF». Una possibilità è che gli sviluppatori abbiano presentato le richieste come attività autorizzate di security testing o capture the flag quando utilizzavano sistemi di intelligenza artificiale per assistere lo sviluppo e aggirare le restrizioni di sicurezza.

Questa spiegazione non è stata confermata. I riferimenti potrebbero anche essere note di sviluppo, materiale copiato o un tentativo deliberato di depistaggio.

Non è emerso un profilo affidabile delle vittime. Resta quindi sconosciuto se PEEP sia stato utilizzato in intrusioni mirate, attività criminali più ampie, test controllati o una combinazione di questi scenari.

Cosa devono verificare subito i difensori

Le organizzazioni dovrebbero considerare qualsiasi rilevamento di PEEP come una prova di una compromissione più ampia dell'endpoint. La sola rimozione dell'estensione non risolve l'intrusione iniziale, le sessioni rubate, i profili del browser alterati o i comandi già eseguiti tramite nm_host.exe.

Le azioni prioritarie includono:

1. Cercare nei profili di Chrome ed Edge «Smart Bookmarks» e l'ID dell'estensione ejkndncpkdcjcikfhiamcdehdoegilbj.
2. Bloccare e analizzare il traffico relativo a 206.237.30[.]232, xfjcc[.]fun, alla porta 5001 o ai percorsi API documentati.
3. Cercare richieste HTTP ogni 30 secondi, soprattutto se provengono da processi del browser.
4. Verificare ExtensionInstallForcelist e ExtensionSettings alla ricerca di voci non autorizzate dagli amministratori.
5. Esaminare i file Secure Preferences e Preferences alla ricerca di impostazioni di abilitazione forzata, modifiche sospette ai valori di integrità e alterazioni di external_uninstalls.
6. Cercare i file di distribuzione, tra cui install_silent.ps1, patch_secure_prefs.ps1, force_enable.ps1, patch_secure_prefs_linux.py, content.js, nm_host.exe e i file CRX presenti in %LOCALAPPDATA%PEEPcrx.
7. Esaminare le registrazioni Native Messaging associate a com.peep.lab/nm_host.exe.
8. Analizzare i processi avviati dal browser, l'esecuzione di shell, le operazioni sui file e l'enumerazione di processi o servizi.
9. Revocare le sessioni attive e ruotare le credenziali esposte, senza fare affidamento soltanto sulla modifica delle password.
10. Conservare le evidenze forensi e ristabilire l'affidabilità dell'endpoint prima di rimetterlo in servizio.

Il vettore di accesso iniziale potrebbe trovarsi altrove sulla macchina. Una risposta completa dovrebbe determinare come l'attaccante abbia ottenuto per la prima volta l'esecuzione di codice, quali dati abbia raccolto PEEP e se l'operatore abbia stabilito ulteriori meccanismi di persistenza al di fuori del browser.