Estensioni per Chrome rubano dati e criptovalute

I ricercatori di Socket hanno individuato 18 estensioni sul Chrome Web Store che condividono lo stesso codice infetto (una è anche disponibile per Edge). Sembrano apparentemente innocue, ma possono invece rubare dati sensibili dal browser e criptovalute dai wallet. Google ha già rimosso le estensioni per impedire l’installazione. Gli utenti devono però rimuoverle dai loro computer.

Funzionalità pericolose dopo l’aggiornamento

Le estensioni sono state pubblicate almeno sei mesi fa, ma il codice e le tecniche sono simili a quelli utilizzati durante una campagna malware avviata a febbraio 2024. Il trucco sfruttato è identico. Le prime versioni offrono le funzionalità indicate nella descrizione, quindi superano i controlli di Google. Successivamente viene rilasciato un aggiornamento che include il malware. Cinque estensioni sono state acquistate dagli sviluppatori originari, mentre le altre sono state create dai cybercriminali.

Tutte le estensioni condividono lo stesso server C2 (command and control), quindi vengono gestite dallo stesso autore. Dopo aver stabilito la connessione scaricano i moduli JavaScript infetti, rimuovono gli header Content Security Policy (CSP) da ogni sito web visitato e iniettano script nelle pagine attraverso elementi HTML nascosti.

I ricercatori hanno individuato 16 moduli che permettono di eseguire sette distinte attività. La prima è quella di wallet drainer. Le estensioni rilevano i wallet EVM, Solana e Tron, modificano i pulsanti “Connect Wallet” e “Swap” dei siti e rubano le criptovalute. Possono inoltre mostrare siti fasulli di Ledger e Trezor, e convincere gli utenti ad inserire la seed phrase. Altre estensioni rubano cookie, token e dati degli account Coinbase, Binance, Kraken, OKX, MEXC, KuCoin, Bybit e MetaMask.

Un gruppo di estensioni offre funzionalità di grabber. Catturano tutti i dati inseriti dagli utenti nelle pagine web, tra cui testo, email e credenziali di login. Altri moduli possono intercettare i dati personali presenti negli account Facebook e LinkedIn, e rubare la cronologia di navigazione dal browser.

Infine c’è un modulo che esegue il noto attacco ClickFix. Viene chiesto all’ignara vittima di seguire le istruzioni mostrate per installare un aggiornamento di Chrome. In realtà esegue comandi che portano all’installazione di malware. Come detto, le estensioni sono state rimosse. Gli utenti che hanno installato una o più estensione devono cambiare tutte le credenziali e spostare le criptovalute in un nuovo wallet.