Die Unternehmen MyCrypto und PhishFort im Chrome Web Store 49 schädliche Erweiterungen, die Schlüssel und Passwörter von Krypto-Wallets an die Server von Angreifern senden. Die Erweiterungen wurden unter Verwendung von Phishing-Werbung verbreitet und als Implementierungen verschiedener Krypto-Wallets präsentiert. Sie basierten auf dem Code offizieller Wallets, beinhalteten jedoch schädliche Änderungen, die den Versand von privaten Schlüsseln, Wiederherstellungscodes und Dateien mit Schlüsseln durchführten.
Für einige Erweiterungen wurde durch gefälschte Benutzer künstlich eine positive Bewertung aufrechterhalten und es wurden positive Bewertungen veröffentlicht. Google entfernte die genannten Erweiterungen innerhalb von 24 Stunden nach der Benachrichtigung aus dem Chrome Web Store. Die Veröffentlichung der ersten schädlichen Erweiterungen begann im Februar, erreichte aber im März (34,69 %) und April (63,26 %) ihren Höhepunkt.
Die Erstellung aller Erweiterungen steht in Verbindung mit einer Gruppe von Angreifern, die 14 Kontrollserver zur Verwaltung von Schadcode und zum Sammeln der von den Erweiterungen abgefangenen Daten bereitgestellt haben. In allen Erweiterungen wurde ein standardisierter Schadcode verwendet, jedoch wurden die Erweiterungen als unterschiedliche Produkte getarnt. Ledger (57% der schädlichen Erweiterungen), MyEtherWallet (22%), Trezor (8%), Electrum (4%), KeepKey (4%), Jaxx (2%), MetaMask und Exodus.
Während der ersten Einrichtung der Erweiterung wurden die Daten an einen externen Server gesendet, und nach einiger Zeit wurden Mittel vom Wallet abgebucht.
Quelle: opennet.ru
