В Chrome и Edge нашли 19 расширений с кражей криптокошельков
По данным Socket, вредоносные версии расширений похищали секретные данные и могли опустошать криптокошельки. Часть дополнений сначала распространялась как легитимная, а вредоносный код появлялся в последующих обновлениях.
Исследователи Socket обнаружили 19 расширений с функциями кражи данных криптокошельков и вывода криптоактивов: 18 опубликованы для Google Chrome, ещё одно — для Microsoft Edge. В Socket отслеживают кампанию под названием Superior и считают, что она могла действовать с февраля 2024 года.
Операторы кампании использовали два подхода. По данным исследователей, они создали 14 расширений самостоятельно, а ещё пять приобрели у прежних владельцев. В обоих случаях дополнение могло сначала выглядеть безвредным и выполнять заявленные функции, а затем получить вредоносный код с очередным обновлением. Автоматическое обновление расширений в Chrome увеличивает охват такой схемы.
Наибольшую потенциальную аудиторию имело расширение Enable Right Click & Copy — Smart Unlock + OCR: суммарно в Chrome и Edge оно было установлено у 80 тыс. пользователей. Среди других выявленных дополнений — инструменты для поиска по изображению, работы с PDF, анализа трафика сайтов, мониторинга криптовалют и рекламных библиотек.
Все найденные расширения могли связываться с управляющим сервером и поддерживать постоянное соединение через WebSocket. По данным Socket, инфраструктура поддерживала смену адресов управляющих серверов и динамическое назначение отдельного канала для вывода данных каждой жертвы. DomainTools Investigations ранее отмечала, что такие расширения обычно могли получать команды и выполнять код.
В коде расширений исследователи обнаружили 16 модулей. Среди их возможностей — кража seed-фраз аппаратных криптокошельков, данных аккаунтов криптобирж и кошельков, учётных данных из форм, а также данных учётных записей Facebook и LinkedIn и истории браузера. В QuickLens, о котором ранее сообщали другие исследователи, вредоносный код снимал ограничения Content Security Policy со страниц и позволял внедрять JavaScript на целевые сайты.
Отдельный модуль использовал приём ClickFix: он показывал фальшивое уведомление об обновлении браузера и предлагал пользователю скопировать и выполнить вредоносную команду с инструкциями для его операционной системы. Кто стоит за кампанией, пока не установлено.