Исследователи из SOCRadar обнаружили новый постэксплуатационный фреймворк PEEP, который маскируется под расширение для браузера и превращает Chrome или Edge в полноценный бэкдор. Инструмент предназначен для действий уже после компрометации системы и позволяет злоумышленнику закрепиться на заражённой машине.

Ключевая особенность PEEP — использование механизма Native Messaging. Через него расширение получает доступ к операционной системе и может выполнять произвольные команды, выходя далеко за пределы песочницы браузера.

Помимо выполнения команд, фреймворк умеет похищать данные из браузера и перехватывать активные сессии. Это даёт атакующим доступ к учётным записям, токенам и другой чувствительной информации прямо из пользовательского профиля.

Схема с маскировкой под безобидное расширение позволяет обходить часть стандартных защит: браузер воспринимает компонент как легитимный, а связка с Native Messaging открывает дорогу к системе. Подобные техники всё чаще используются в целевых атаках, где важна скрытность.

Для защиты специалисты рекомендуют контролировать устанавливаемые расширения и их разрешения, особенно доступ к Native Messaging. Реакция вендоров браузеров и появление сигнатур для детектирования PEEP пока остаются открытым вопросом.