O que Engenharia Reversa de Extensões de Navegador faz?
AÇÃO REQUERIDA (leia e execute imediatamente)
AGORA: Leia../field-journal/precedent-reverse.mdAGORA: Confirme que o alvo é uma extensão de navegador (crx/xpi/diretório extraído), não JS comum de página web (comum →js-reverse/)PRÓXIMO: Extraia a extensão; leia o manifestAJA: Superfície de permissões → Script de fundo → Ganchos de rede/armazenamento
Cenários de Uso
- Análise de extensões Chrome/Edge MV2/MV3
- Extensões Firefox
- IOC de extensões maliciosas, investigação de envenenamento na cadeia de suprimentos de extensões
- Recuperação de lógica de assinatura/criptografia/proxy implementada por extensões
Fluxo de Trabalho
1. Pacote
□ Extrair crx / Obter diretório da extensão do perfil
□ manifest.json: permissions, host_permissions, background, content_scripts
□ Avaliar permissões excessivas (<all_urls>, webRequest, debugger)
2. Lógica
□ Ponto de entrada service_worker / background
□ Pontos de injeção e mundo do content_script (isolado)
□ chaves chrome.storage / IndexedDB
□ Igual a `js-reverse`: Observe rede e passagem de mensagens (runtime.sendMessage)
3. Dinâmica
□ Carregar diretório extraído no modo desenvolvedor
□ chrome://extensions para verificar erros
□ Anexar DevTools ao service worker
□ Quando necessário: Frida / CDP do navegador (jshookmcp)
Cadeia de Ferramentas
| Ferramenta | Uso |
|---|---|
| Descompactar/jq | manifest |
| Chrome DevTools | Depuração worker |
| Cadeia de ferramentas js-reverse | JS profundo |
| YARA | Regras para extensões maliciosas |
Referências
references/extension-analysis.md- Entradas relacionadas a recuperação de extensões no field-journal
../js-reverse/../malware-analysis/
Contexto de Roteamento
Upstream: MASTER R30
Downstream: JS ofuscado complexo → js-reverse; investigação de envenenamento → supply-chain / malware
Autoverificação de Conclusão da Tarefa
- A superfície de permissões e scripts de entrada foram listados?
- Os principais fluxos de dados foram restaurados?
- Checklist?