Tvrtke MyCrypto i PhishFort 49 zlonamjernih ekstenzija u Chrome Web Store-u koje šalju ključeve i lozinke kripto novčanika na poslužitelje napadača. Ekstenzije su se širile putem phishing oglasa i predstavljale su se kao implementacije raznih kripto novčanika. Bazirane su na kodu službenih novčanika, ali su uključivale zlonamjerne izmjene koje šalju privatne ključeve, kodove za oporavak i datoteke s ključevima.
Za neke ekstenzije su se, uz pomoć lažnih korisnika, umjetno održavali pozitivne ocjene i objavljivali pozitivni komentari. Kompanija Google je uklonila navedene ekstenzije iz Chrome Web Store-a unutar 24 sata nakon obavijesti. Objavljivanje prve zlonamerne ekstenzije započelo je u februaru, ali su vrhunac dosegli u martu (34,69%) i aprilu (63,26%).
Stvaranje svih ekstenzija povezano je s jednom grupom napadača koja je postavila 14 kontrolnih poslužitelja za upravljanje zlonamjernim kodom i prikupljanje podataka koje ekstenzije presreću. U svim ekstenzijama korišten je standardni zlonamjerni kod, ali su se same ekstenzije kamuflirane kao različiti proizvodi, Ledger (57% zlonamjernih ekstenzija), MyEtherWallet (22%), Trezor (8%), Electrum (4%), KeepKey (4%), Jaxx (2%), MetaMask i Exodus.
U procesu inicijalne postavke ekstenzije, podaci su slani na vanjski poslužitelj, a nakon nekog vremena sredstva su se skidala s novčanika.
Izvor: opennet.ru
