Die Unternehmen MyCrypto und PhishFort entdeckten im Chrome Web Store 49 bösartige Erweiterungen, die Schlüssel und Passwörter von Krypto-Wallets an die Server von Angreifern sendeten. Die Erweiterungen wurden unter Verwendung von Methoden der Phishing-Werbung verbreitet und als Implementierungen verschiedener Kryptowährungs-Wallets dargestellt. Die Erweiterungen basierten auf dem Code offizieller Wallets, beinhalteten jedoch bösartige Änderungen, die das Senden von privaten Schlüsseln, Wiederherstellungscodes und Datei mit Schlüsseln ermöglichten.
Für einige Erweiterungen wurde durch gefälschte Benutzer künstlich eine positive Bewertung aufrechterhalten und positive Rezensionen veröffentlicht. Google entfernte die genannten Erweiterungen innerhalb von 24 Stunden nach Benachrichtigung aus dem Chrome Web Store. Die Veröffentlichung der ersten bösartigen Erweiterungen begann im Februar, der Höhepunkt wurde jedoch im März (34,69 %) und April (63,26 %) erreicht.
Die Erstellung aller Erweiterungen wird mit einer Gruppe von Angreifern in Verbindung gebracht, die 14 Kontrollserver für die Verwaltung des bösartigen Codes und das Sammeln der von den Erweiterungen abgefangenen Daten betrieben. In allen Erweiterungen wurde ein typischer bösartiger Code verwendet, aber die Erweiterungen wurden als verschiedene Produkte getarnt. Ledger (57 % der bösartigen Erweiterungen), MyEtherWallet (22 %), Trezor (8 %), Electrum (4 %), KeepKey (4 %), Jaxx (2 %), MetaMask und Exodus.
Bei der ersten Einrichtung der Erweiterung wurden Daten an einen externen Server gesendet, und nach einiger Zeit wurden von der Wallet Gelder abgebucht.
Quelle: opennet.ru
