PEEP 将 Chrome 和 Edge 变成用于主机命令执行的后渗透后门

网络安全研究人员披露了一个名为 PEEP 的复杂 Chromium 后渗透工具包的细节，该工具包伪装成浏览器的书签扩展程序。

"该安装程序需要事先获得管理员或代码执行权限，它直接将扩展注入 Chrome/Edge 配置文件，通过伪造 Chromium 自身的 Secure Preferences 完整性值来绕过 Web Store 检查和用户提示，"SOCRadar 表示。"随后，一个原生消息传递工具将其能力从浏览器遥测扩展到主机级命令执行和文件管理。"

一旦安装，PEEP "扩展"代理每 30 秒通过明文 HTTP 轮询其命令与控制 (C2) 服务器（"206.237.30[.]232" 或 "xfjcc[.]fun"）以获取新命令，同时外泄浏览历史、活动标签页元数据和会话 Cookie。它还可作为远程访问和浏览器监控工具包，用于运行主机命令、窃取凭据、劫持会话以及篡改网页。

PEEP 基于 RedExt 构建——这是一个开源的浏览器数据分析和红队框架，此前也曾在 GlassWorm 攻击中被使用。然而，它通过专用的安装例程、原生主机桥接、心跳遥测、更新通道和更广泛的命令集对该工具包进行了扩展。这反过来使 PEEP 成为 RedExt 的衍生品。

PEEP 被描述为一个后渗透框架，因为它本身缺乏初始访问向量，这意味着它需要操作者通过其他方式入侵一台机器并部署该恶意软件。该活动目前仍无法归因，尽管源代码中存在中文语言工件，表明其背后是一个中文威胁行为者。

该扩展伪装为 "Smart Bookmarks"（ID: ejkndncpkdcjcikfhiamcdehdoegilbj）。它是负责执行信标循环的主要代理，通过轮询 "/api/commands"、收集浏览器数据、接收额外任务并将结果发送回去。

当所述任务需要操作系统访问权限时，该浏览器插件还会调用一个辅助可执行文件（"nm_host.exe"），而基于浏览器的命令（例如截图、剪贴板或 JavaScript 注入）则在本地运行。使用原生消息传递主机二进制文件将该恶意软件从基本的凭据窃取器转变为远程访问工具。

"该扩展在用户上下文中运行，提取浏览器工件，并使用 com.peep.lab/nm_host.exe 来运行 shell 命令、管理文件以及发现进程和服务，"SOCRadar 表示。"通过绕过 Web Store 检查，PEEP 通过侧载、企业强制安装策略、偏好完整性操纵以及 ScriptCache 回退来维持持久性。"

该扩展还使用其他几个端点——

• "/api/register" 用于注册感染
• "/api/agents/<id>/heartbeat" 用于发送有关浏览器 User-Agent 字符串、操作系统和时区的详细信息
• "/api/extension_update/" 和 "/api/extension_crx/" 用于更新扩展本身
• "/api/agents/<id>/task_result" 用于提交命令执行的结果
• "/api/exfil" 用于提交自动收集的数据，如 Cookie、近期历史记录、打开的标签页、活动 URL、公网 IP 地址、区域设置和时区
• "/health" 用于在无需登录凭据的情况下提供内部系统状态
• "/login" 用于在端口 5001 提供 C2 面板的登录界面

PEEP 的另一个显著特点是能够修改 Secure Preferences 文件，以确保扩展在浏览器启动时自动启用。鉴于该扩展在 Chrome Web Store 和其他官方扩展市场上不可用，它还利用 ExtensionInstallForcelist 或 ExtensionSettings 策略以及侧载技巧进行投递。

该恶意软件使用了两个 PowerShell 脚本，而第三个脚本充当扩展的重新注册辅助程序，无需触碰 Secure Preferences——

• install_silent.ps1：启用开发者模式以侧载任意扩展
• patch_secure_prefs.ps1：修补 Secure Preferences 文件
• force_enable.ps1：从 Preferences 的 external_uninstalls 中移除该扩展，将 CRX 放置在 %LOCALAPPDATA%PEEPcrx，通过 HKCU Extensions 键和外部扩展 JSON 清单重新注册，并重启浏览器

还存在一个名为 "patch_secure_prefs_linux.py" 的 Python 脚本，其功能与其 PowerShell 对应脚本相同，表明该活动背后的威胁行为者正在复制此行为以同时针对 Linux 环境。

一旦初始化，该扩展会解析一个配置文件以提取 C2 信息并激活自动数据收集，同时一个配套的内容脚本（"content.js"）被嵌入到所有活动网页中。

SOCRadar 表示，它识别出多处对 "Authorized CTF" 使用的引用，这增加了威胁行为者可能利用该框架来降低 AI 工具的安全护栏并协助恶意软件开发的可能性。目前尚无迹象表明谁是被攻击目标，但 "/health" 端点显示了 34 个代理条目、10 个活动会话和 507 条数据记录。话虽如此，目前无法区分实际的受感染主机与测试条目或已验证的部署。

"PEEP 建立在现有主机入侵的基础上，利用原生消息传递桥接将 Chrome/Edge 转换为一个持久后门，跨越浏览器沙箱到达操作系统，"SOCRadar 表示。"由于其逻辑在受签名的浏览器进程内运行，它可以避开对新的或未签名二进制文件的密钥检测。因此，浏览器充当了凭据窃取、会话滥用和命令执行的端点枢纽。"