Il punto non è un’estensione malevola in sé. Il punto è che il browser non resta più il confine della compromissione: un’estensione può agganciarsi a un helper locale fidato e far partire codice nativo sul desktop, trasformando un abuso di Edge o Chrome in un foothold sull’endpoint. Zscaler attribuisce Edgecution a intrusioni legate al ransomware e descrive una catena iniziata su Microsoft Teams con finto supporto IT e un falso aggiornamento. L’estensione usa Chrome Native Messaging per parlare con un programma locale e passare i comandi a un backdoor Python fuori dal browser; le fonti collegano il rilascio a un initial access broker associato a Payouts Kings. Per chi permette estensioni in Edge o Chrome e usa Teams per il supporto interno, il controllo non si ferma più alle sole permission del browser. Il punto da sorvegliare diventa il ponte tra estensione e host nativo, perché è lì che un compromesso web si trasforma in esecuzione di malware sull’endpoint.
Part of the PlainSec briefing for 2026-06-25