¿Qué hace Ingeniería Inversa de Extensiones de Navegador?
ACCIÓN REQUERIDA (leer y ejecutar inmediatamente)
AHORA: Leer../field-journal/precedent-reverse.mdAHORA: Confirmar que el objetivo es una extensión de navegador (crx/xpi/directorio descomprimido), no JS de página web normal (normal →js-reverse/)SIGUIENTE: Descomprimir la extensión; leer manifestACTUAR: Superficie de permisos → scripts en segundo plano → hooks de red/almacenamiento
Escenarios de Aplicación
- Análisis de extensiones Chrome/Edge MV2/MV3
- Extensiones de Firefox
- Indicadores de compromiso (IOC) de extensiones maliciosas, investigación de envenenamiento de la cadena de suministro de extensiones
- Recuperación de lógica de firma/cifrado/proxy implementada por extensiones
Flujo de Trabajo
1. Paquete
□ Descomprimir crx / Tomar el directorio de extensión del perfil
□ manifest.json: permissions, host_permissions, background, content_scripts
□ Evaluar permisos excesivos (<all_urls>, webRequest, debugger)
2. Lógica
□ Punto de entrada de service_worker / background
□ Puntos de inyección de content_script y mundo (isolated)
□ Claves de chrome.storage / IndexedDB
□ Igual que `js-reverse`: Observar red y paso de mensajes (runtime.sendMessage)
3. Dinámica
□ Cargar directorio descomprimido en modo desarrollador
□ chrome://extensions para verificar errores
□ Adjuntar DevTools al service worker
□ Si es necesario, Frida / CDP del navegador (jshookmcp)
Cadena de Herramientas
| Herramienta | Uso |
|---|---|
| Descompresión/jq | manifest |
| Chrome DevTools | Depuración de workers |
| Cadena de herramientas js-reverse | JS profundo |
| YARA | Reglas para extensiones maliciosas |
Referencias
references/extension-analysis.md- Entradas de recuperación de extensiones en field-journal
../js-reverse/../malware-analysis/
Contexto de Ruta
Ascendente: MASTER R30
Descendente: JS ofuscado complejo → js-reverse; investigación de envenenamiento → supply-chain / malware
Autocomprobación de Finalización de Tarea
- ¿Se ha listado la superficie de permisos y los scripts de entrada?
- ¿Se han recuperado los flujos de datos críticos?
- ¿Lista de verificación?