Le aziende MyCrypto e PhishFort hanno identificato 49 estensioni dannose nel Chrome Web Store che inviavano chiavi e password dei portafogli criptati ai server degli hacker. Le estensioni erano diffuse attraverso tecniche di pubblicità phishing e si presentavano come implementazioni di vari portafogli di criptovalute. Queste estensioni si basavano su codice proveniente da portafogli ufficiali, ma includevano modifiche dannose che inviavano chiavi private, codici di recupero e file contenenti chiavi.
Per alcune estensioni, utenti fittizi erano utilizzati per mantenere artificialmente un punteggio positivo e venivano pubblicate recensioni favorevoli. Google ha rimosso le estensioni segnalate dal Chrome Web Store entro 24 ore dalla notifica. La pubblicazione delle prime estensioni dannose è iniziata a febbraio, ma il picco è stato a marzo (34,69%) e aprile (63,26%).
La creazione di tutte le estensioni è collegata a un gruppo di attaccanti che ha dispiegato 14 server di comando per controllare il codice dannoso e raccogliere i dati intercettati dalle estensioni. Tutte le estensioni utilizzavano un codice malware di tipo standard, ma si camuffavano come diversi prodotti. Ledger (57% delle estensioni dannose), MyEtherWallet (22%), Trezor (8%), Electrum (4%), KeepKey (4%), Jaxx (2%), MetaMask e Exodus.
Durante la configurazione iniziale dell'estensione, i dati venivano inviati a un server esterno e dopo un certo tempo fondi venivano prelevati dal portafoglio.
Fonte: opennet.ru
