Scoperta della Campagna di Malware “Silent Swap”
I ricercatori di cybersecurity di McAfee Advanced Threat Research hanno scoperto una campagna di malware estremamente sofisticata per il furto di criptovalute, soprannominata “Silent Swap”. Questa campagna si basa su un’estensione del browser malevola che intercetta e modifica gli appunti degli utenti, sostituendo gli indirizzi dei portafogli di criptovalute legittimi con quelli falsi.
Criptovalute Sotto Attacco
I malintenzionati stanno prendendo di mira Bitcoin (BTC), Ethereum (ETH), XRP, Bitcoin Cash, Dash e altre criptovalute. Silent Swap si distingue dai primitivi “crypto clippers” per il suo allarmante livello di sofisticazione.
Meccanismo di Infezione
L’infezione in genere inizia quando la vittima scarica installer .NET o Golang non firmati, spesso mascherati da versioni gratuite o piratate di software legittimo. L’installer distribuisce quindi un’estensione malevola che si traveste da innocua applicazione “Google Notes”.
Manipolando i file di configurazione del browser, Silent Swap si installa forzatamente nei browser basati su Chromium, inclusi Google Chrome, Microsoft Edge, Brave e Opera. Normalmente, i browser Chromium memorizzano i dati di verifica della sicurezza, ma Silent Swap riesce a eludere questa difesa ricalcolando e aggiornando i valori di sicurezza dopo aver iniettato il suo codice.
Funzionamento dell’Estensione Malevola
L’estensione “Google Notes”, installata da vittime ignare, richiede permessi invasivi. Non appena l’estensione rileva un indirizzo copiato che corrisponde ai modelli regex per BTC, ETH, XRP, Bitcoin Cash o Dash, non utilizza una sostituzione hardcoded. Invece, interroga il server backend dell’attaccante.
I malintenzionati dietro Silent Swap non hardcodano nemmeno i loro domini di comando e controllo (C2) nel malware, ma utilizzano una tecnica nota come “EtherHiding”.
Impatto Globale
Silent Swap ha un’impronta di infezione distribuita a livello globale, con una concentrazione particolarmente alta di vittime in India.
“Silent Swap si distingue per il suo allarmante livello di sofisticazione e per le tecniche all’avanguardia utilizzate per eludere le difese dei browser.”
