Rilide Stealer per Chrome ruba dati e criptovalute

I ricercatori di Trustwave Spiderlabs hanno scoperto una nuova versione dell’estensione Rilide Stealer per Chrome che consente di rubare criptovalute dai wallet degli utenti, dati bancari e credenziali di login. Il malware, che supporta altri browser basati su Chromium (Edge, Brave e Opera), può aggirare la protezione del Google Manifest V3.

Rilide Stealer: add-on molto pericoloso

Rilide Stealer è stato utilizzato in almeno tre campagne malware. Durante l’indagine, i ricercatori hanno scoperto oltre 1.300 siti di phishing che sfruttano varie tecniche per ingannare le vittime e rubare le credenziali degli account. La nuova versione offre tutte le “funzionalità” precedenti, tra cui accesso a cronologia e cookie, iniezione di script, keylogging, cattura screenshot e furto di criptovalute.

I cybercriminali hanno aggiunto l’esfiltrazione dei dati tramite canale Telegram e soprattutto il supporto per Manifest V3. Una delle novità di Manifest V3 è quella che impedisce alle estensioni di caricare codice JavaScript remoto. Dato che la prima versione di Rilide Stealer sfrutta l’iniezione di script JavaScript remoti, gli autori del malware hanno implementato varie tecniche per aggirare la protezione. I workaround funzionano perché l’estensione non viene distribuita tramite Chrome Web Store.

La prima campagna in corso prevede l’invio di email di phishing con una presentazione PowerPoint che spiega come installare la VPN GlobalProtect di Palo Alto Networks per Chrome. In realtà viene installata l’estensione Rilide Stealer. La seconda campagna sfrutta invece Twitter per pubblicizzare giochi P2E (Play To Earn). Gli installer presenti su siti fasulli contengono il malware che, quando installato, ruba le criptovalute dai wallet.

Infine, la terza campagna distribuisce l’estensione infetta attraverso script PowerShell e siti di phishing pubblicizzati tramite Google Ads. In questo caso, l’obiettivo dei cybercriminali è accedere agli account bancari. Il malware viene venduto sui forum del dark web a 5.000 dollari.