Avdekket Kampanje for Stjeling av Kryptovaluta
Cybersikkerhetsforskere har avdekket en kampanje som involverer 19 ondsinnede nettleserutvidelser som stjeler kryptovaluta. Socket rapporterte at de nevnte utvidelsene (18 for Google Chrome og én for Microsoft Edge) ble publisert eller oppdatert i løpet av de siste seks månedene. Sikkerhetsfirmaet hevder at operasjonen kan dateres tilbake til februar 2024.
Hvordan Angriperne Opererer
I noen tilfeller opprettet angriperne utvidelser som først så legitime ut, mens de i andre tilfeller skaffet seg eksisterende utvidelser fra de opprinnelige utviklerne før de gjorde dem ondsinnede. Av de 19 utvidelsene identifisert av Socket, ble 14 opprettet av trusselaktøren, mens fem ble kjøpt fra legitime utviklere.
Den Farligste Utvidelsen
«Enable Right Click & Copy — Smart Unlock + OCR» var den farligste utvidelsen, med omtrent 70 000 brukere på Chrome da dens ondsinnede funksjonalitet ble introdusert. I mellomtiden hadde Edge-versjonen omtrent 10 000 brukere. Chrome-utvidelsen har siden blitt fjernet fra Chrome Web Store, ifølge Socket, men Edge-versjonen var fortsatt aktiv.
Malware-funksjonalitet
Socket-forskere oppdaget også at malware fjerner Content Security Policy-beskyttelser fra nettsteder. Firmaet har avdekket en multi-chain kryptovaluta-lommebokdrener som retter seg mot EVM-kompatible, Solana- og Tron-lommebøker. Malware kan manipulere legitime «Connect Wallet»– og «Swap»-knapper for å omdirigere brukere til angriper-kontrollerte transaksjonsflyt.
Moduler for Å Stjele Informasjon
Andre moduler retter seg mot hardware-lommebøker ved å vise overbevisende falske Ledger- og Trezor-gjenopprettings- eller oppdateringssider for å lure ofrene til å skrive inn sine frøfraser. Kampanjen inkluderer også moduler designet for å høste autentiserte økter og kontoinformasjon fra kryptovaluta-plattformer, inkludert Binance, Coinbase, Kraken, OKX, MEXC, KuCoin og Bybit, samt MetaMask.
Ytterligere moduler retter seg mot Facebook og LinkedIn-kontoer, stjeler nettleserhistorikk og distribuerer falske nettleseroppdateringssider som ClickFix.
Anbefalinger for Brukere
Socket anbefaler brukere å regelmessig gjennomgå installerte nettleserutvidelser og fjerne mistenkelige.
