PEEP setzt auf dem quelloffenen Framework RedExt auf, das zur Analyse von Browserdaten und für Red-Teaming gedacht ist und bereits bei früheren GlassWorm-Angriffen zum Einsatz kam. PEEP erweitert diese Grundlage um eigene Installationsroutinen, eine native Host-Brücke, Heartbeat-Telemetrie, einen Update-Kanal und einen deutlich größeren Befehlssatz. SOCRadar bezeichnet die Schadsoftware daher als Ableitung von RedExt.
Die Erweiterung selbst ist der zentrale Agent: Sie ruft in ihrer Beacon-Schleife den Endpunkt “/api/commands” ab, sammelt Browserdaten, nimmt weitere Aufträge an und liefert die Ergebnisse zurück. Befehle, die im Browser bleiben — etwa Screenshots, Zugriff auf die Zwischenablage oder JavaScript-Injektion — werden lokal ausgeführt. Erfordert eine Aufgabe Zugriff auf das Betriebssystem, ruft das Add-on die Hilfsdatei “nm_host.exe” auf. Genau dieser Native-Messaging-Host macht aus einem einfachen Zugangsdaten-Dieb ein vollwertiges Fernsteuerungswerkzeug.
“Die Erweiterung arbeitet im Nutzerkontext, extrahiert Browser-Artefakte und nutzt com.peep.lab/nm_host.exe, um Shell-Befehle auszuführen, Dateien zu verwalten sowie Prozesse und Dienste zu ermitteln”, erklärt SOCRadar. Persistenz erreiche PEEP unter Umgehung der Web-Store-Prüfungen durch Sideloading, über erzwungene Unternehmensrichtlinien zur Installation, durch Manipulation der Präferenz-Integrität und über einen Rückfallweg im ScriptCache.
Ein Kennzeichen der Malware ist die Änderung der Datei Secure Preferences, damit die Erweiterung beim Start des Browsers automatisch aktiviert wird. Da sie in keinem offiziellen Erweiterungsmarktplatz verfügbar ist, greifen die Angreifer für die Auslieferung auf die Richtlinien ExtensionInstallForcelist beziehungsweise ExtensionSettings sowie auf Sideloading-Tricks zurück. Für die Manipulation nutzt PEEP zwei PowerShell-Skripte. Ein zusätzliches Python-Skript namens “patch_secure_prefs_linux.py” zeigt, dass der Akteur dasselbe Verhalten auch für Linux-Umgebungen nachbaut.
Nach der Initialisierung liest die Erweiterung eine Konfigurationsdatei aus, um die C2-Informationen zu erhalten und die automatisierte Datensammlung zu starten. Ein begleitendes Content-Skript (“content.js”) wird in alle aktiven Webseiten eingebettet.
Auffällig sind für SOCRadar mehrere Verweise auf eine “autorisierte CTF”-Nutzung im Code. Die Forscher halten es für möglich, dass der Akteur diese Einkleidung gewählt hat, um die Sicherheitsschranken von KI-Werkzeugen zu senken und sich so bei der Entwicklung der Schadsoftware helfen zu lassen. Wer angegriffen wird, ist offen: Der Endpunkt “/health” weist 34 Agenten-Einträge, 10 aktive Sitzungen und 507 Datensätze aus — echte Infektionen lassen sich davon jedoch nicht von Testeinträgen oder verifizierten Deployments unterscheiden.
“PEEP baut auf bestehenden Host-Kompromittierungen auf und verwandelt Chrome und Edge über eine Native-Messaging-Brücke in eine dauerhafte Hintertür, die die Browser-Sandbox überschreitet und das Betriebssystem erreicht”, so SOCRadar. Da die Logik innerhalb des signierten Browserprozesses laufe, entgehe sie einer Erkennung, die auf neue oder unsignierte Binärdateien ausgerichtet ist. Der Browser diene damit als Sprungbrett auf dem Endpunkt für Diebstahl von Zugangsdaten, Missbrauch von Sitzungen und Befehlsausführung.