Extensii Chrome și Edge, prinse cu malware: furau criptomonede, date și istoricul din browser

Mai multe extensii pentru Google Chrome și Microsoft Edge au fost folosite pentru a distribui un malware capabil să fure criptomonede, informații sensibile și istoricul de navigare. Campania este cu atât mai periculoasă cu cât extensiile respective păreau perfect legitime atunci când au ajuns inițial în magazinele oficiale.

Investigația realizată de compania de securitate cibernetică Socket indică faptul că operațiunea ar putea fi activă încă din 2024. Cercetătorii au identificat 19 module malițioase, fiecare cu funcții diferite, dar construite în jurul aceleiași infrastructuri, ceea ce le permite atacatorilor să adauge relativ ușor noi capabilități, scrie Bleeping Computer.

Extensiile nu erau neapărat periculoase când au fost publicate

Unul dintre cele mai interesante aspecte ale campaniei este modul în care au fost compromise extensiile. Potrivit Socket, unele dintre ele ofereau exact funcțiile promise în momentul în care au fost publicate în Chrome Web Store și nu conțineau inițial cod malițios.

Ulterior, cinci extensii ar fi fost cumpărate de la dezvoltatorii lor originali. După preluare, atacatorii au introdus componentele malware în actualizări, astfel încât codul periculos să ajungă automat la persoanele care aveau deja extensiile instalate.

Un exemplu este „Enable Right Click & Copy – Smart Unlock + OCR”, o extensie care permitea copierea textului de pe site-uri unde această funcție era dezactivată. În momentul în care a fost compromisă, aceasta avea cel puțin 70.000 de instalări în Chrome și alte aproximativ 10.000 în versiunea pentru Edge.

Google a eliminat extensia din Chrome Web Store după identificarea amenințării. Socket atrage însă atenția că, la momentul publicării investigației, versiunea disponibilă în magazinul de extensii pentru Edge încă putea fi găsită acolo.

Malware-ul putea interveni direct în site-urile pe care le vizitezi

După instalare, framework-ul malițios stabilea o conexiune WebSocket criptată cu serverele controlate de atacatori. De acolo putea primi și încărca module JavaScript suplimentare, ceea ce explică de ce cercetătorii îl consideră extrem de extensibil.

Unul dintre mecanismele folosite era eliminarea antetelor Content Security Policy, cunoscute drept CSP, de pe paginile web accesate. Malware-ul putea apoi introduce scripturi proprii în site-uri, inclusiv prin elemente HTML ascunse.

Asta deschidea calea către atacuri mult mai greu de observat. Nu era vorba doar despre colectarea unor informații din browser, ci despre modificarea paginilor pe care le vedeai și manipularea unor acțiuni pe care intenționai să le faci.

În cazul portofelelor crypto compatibile cu rețele precum Ethereum și alte blockchain-uri EVM, Solana sau Tron, malware-ul putea deturna butoane legitime precum „Connect Wallet” sau „Swap”. Practic, o operațiune aparent normală putea fi redirecționată astfel încât fondurile să ajungă la atacatori.

Portofelele crypto au fost o țintă importantă

O altă metodă folosită era înlocuirea unor site-uri reale asociate portofelelor hardware Ledger și Trezor cu pagini care imitau foarte bine serviciile originale. Scopul era obținerea frazei seed, una dintre cele mai sensibile informații pe care le poate deține cineva care își păstrează criptomonedele într-un portofel.

Lista țintelor nu se oprea aici. Cercetătorii au observat module capabile să colecteze sesiuni, tokenuri, date de cont și informații despre solduri de pe platforme precum Coinbase, Binance, Kraken, OKX, MEXC, KuCoin, Bybit și MetaMask.

Malware-ul putea, de asemenea, să înregistreze parole și date introduse în formulare pe diferite site-uri, să colecteze informații asociate conturilor Facebook și LinkedIn și să extragă istoricul de navigare.

Atacatorii foloseau și metoda ClickFix

Printre funcțiile descoperite se află și o tehnică devenită tot mai populară în atacurile informatice: ClickFix. În acest scenariu, victima vede un mesaj fals care pretinde că există o problemă cu browserul sau că este necesară o actualizare.

În loc să instalezi pur și simplu un update, pagina te poate convinge să execuți anumite comenzi furnizate de atacator. Tocmai pentru că acțiunea pare să fie o soluție la o problemă afișată pe ecran, metoda poate păcăli persoane care altfel ar evita fișierele suspecte sau programele necunoscute.

Socket avertizează că cele 19 module descoperite nu reprezintă neapărat întreaga capacitate a infrastructurii. Framework-ul este conceput pentru a primi componente noi, iar cercetătorii se așteaptă ca atacatorii să introducă și alte tipuri de payload-uri pe măsură ce operațiunea evoluează.

La momentul publicării raportului, extensiile identificate nu mai erau disponibile în Chrome Web Store. Descoperirea rămâne însă un avertisment important: faptul că o extensie ajunge într-un magazin oficial nu înseamnă că va rămâne sigură pentru totdeauna. În acest caz, problema nu a fost doar instalarea unei extensii infectate, ci și compromiterea unor extensii care porniseră ca instrumente legitime și au devenit periculoase prin actualizări ulterioare.

EXPERIENȚĂ Sony ULT TOWER 5 versus Sony ULT TOWER 7 – ce înseamnă o boxă de petrecere portabilă în 2026 și care este cea mai potrivită pentru amatorul de bass din tine