Scoperta di una Campagna Malevola per il Furto di Criptovalute
I ricercatori di cybersecurity hanno scoperto una campagna che coinvolge 19 estensioni del browser malevole, progettate per rubare criptovalute. Socket ha dichiarato che queste estensioni (18 per Google Chrome e una per Microsoft Edge) sono state pubblicate o modificate negli ultimi sei mesi. La società di sicurezza ritiene che l’operazione possa risalire a febbraio 2024.
Dettagli sulle Estensioni Malevole
In alcuni casi, gli attaccanti hanno creato estensioni che inizialmente sembravano legittime; in altri, hanno acquisito estensioni esistenti dai loro sviluppatori originali prima di renderle malevole. Delle 19 estensioni identificate da Socket, 14 sono state create dall’attore della minaccia, mentre cinque sono state acquistate da autori legittimi.
“Enable Right Click & Copy — Smart Unlock + OCR” è risultata essere l’estensione più pericolosa, con circa 70.000 utenti su Chrome al momento dell’introduzione della sua funzionalità malevola. Nel frattempo, una versione per Edge aveva circa 10.000 utenti. L’estensione per Chrome è stata successivamente rimossa dal Chrome Web Store, secondo quanto riportato da Socket, ma la versione per Edge era ancora attiva.
Funzionamento del Malware
I ricercatori di Socket hanno anche scoperto che il malware rimuove le protezioni della Content Security Policy dai siti web. La società ha individuato un drainer di wallet multi-chain di criptovalute che prende di mira wallet compatibili con EVM, Solana e Tron. Il malware può manomettere i legittimi pulsanti “Connect Wallet” e “Swap” per reindirizzare gli utenti verso flussi di transazione controllati dagli attaccanti.
Altri moduli prendono di mira gli utenti di wallet hardware, mostrando pagine di recupero o aggiornamento false di Ledger e Trezor per ingannare le vittime e indurle a inserire le loro frasi seed.
Raccolta di Informazioni e Consigli di Sicurezza
La campagna include anche moduli progettati per raccogliere sessioni autenticate e informazioni sugli account da piattaforme di criptovalute come Binance, Coinbase, Kraken, OKX, MEXC, KuCoin e Bybit, oltre a MetaMask. Moduli aggiuntivi prendono di mira account Facebook e LinkedIn, rubano la cronologia di navigazione e distribuiscono pagine di aggiornamento del browser false in stile ClickFix.
Socket ha consigliato agli utenti di rivedere regolarmente le estensioni del browser installate e di rimuovere quelle sospette.
