Расширения для Chrome и Edge воровали криптовалюту
Аналитики из компании Socket обнаружили 18 вредоносных расширений для Google Chrome и одно для Microsoft Edge. Все расширения загружали модульный фреймворк, нацеленный на кражу криптовалюты, учетных данных и истории браузера жертв, а также показывали пользователям ClickFix-приманки.
Специалисты дали этой кампании название Superior и считают, что она может быть активна с февраля 2024 года.
Как показало расследование, 5 из 19 расширений злоумышленники приобрели у прежних разработчиков, а еще 14 создали сами. При этом исходные версии расширений нередко были «чистыми» и выполняли все заявленные функции: вредоносный код появлялся позже, с одним из автоматических обновлений, когда расширение уже набрало аудиторию.
Наиболее ярким примером такой тактики специалисты называют расширение Enable Right Click & Copy — Smart Unlock + OCR. Когда это расширение стало вредоносным, у него уже насчитывалось более 70 000 пользователей в Chrome и еще 10 000 в Edge.
После установки (или получения вредоносного обновления) такие расширения устанавливали постоянное зашифрованное WebSocket-соединение с управляющим сервером и получали оттуда нужные JavaScript-модули. При этом управляющая инфраструктура и адреса для эксфильтрации данных могли динамически меняться по команде атакующих.
Кроме того, вредонос удалял заголовки Content Security Policy со всех посещаемых страниц, благодаря чему получал возможность незаметно внедрять собственные скрипты на любые сайты.
По словам экспертов, некоторые из упомянутых модулей вмешивались в работу кнопок Connect Wallet и Swap на криптовалютных сайтах и опустошали кошельки в сетях EVM, Solana и Tron. Другие подменяли сайты Ledger и Trezor фишинговыми страницами, нацеленными на кражу seed-фраз жертв.
Кроме того, малварь похищала сессии, токены, данные об аккаунтах и сведения о балансах Coinbase, Binance, Kraken, OKX, MEXC, KuCoin, Bybit и MetaMask.
Дополнительно в арсенале вредоносных расширений были универсальный граббер форм и учетных данных, стилеры для сбора информации об аккаунтах Facebook (принадлежит компании Meta, деятельность которой запрещена в РФ) и LinkedIn, модуль кражи истории браузера, а также инструмент для создания ClickFix-приманок. Последний использовался для создания поддельных уведомлений в стиле ClickFix, сообщавших о необходимости обновления браузера. То есть жертвам предлагалось самостоятельно выполнять предоставленные злоумышленниками команды.
Исследователи предупреждают, что обнаруженный набор модулей может быть неполным, так как архитектура фреймворка позволяла злоумышленникам без труда добавлять новые пейлоады.
К моменту публикации отчета Socket все обнаруженные расширения уже удалили из Chrome Web Store, однако отмечается, что расширение для Edge еще было доступно в магазине Microsoft.
Пользователям, у которых были установлены вредоносные расширения (полный список можно найти в отчете Socket), теперь рекомендуется считать свои учетные данные скомпрометированными и как можно быстрее сменить пароли. Кроме того, тем, кто хранил криптовалюту в затронутых кошельках, специалисты советуют перевести активы на новые адреса.
