Le aziende MyCrypto e PhishFort nel catalogo Chrome Web Store sono stati trovati 49 componenti dannosi che inviano chiavi e password dei portafogli crypto ai server degli aggressori. I componenti erano diffusi utilizzando metodi di pubblicità phishing e si presentavano come implementazioni di vari portafogli di criptovaluta. Questi componenti si basavano sul codice dei portafogli ufficiali, ma includevano modifiche dannose che inviavano chiavi private, codici di ripristino e file contenenti chiavi.
Per alcuni componenti, attraverso utenti falsi, è stato artificialmente mantenuto un punteggio positivo e pubblicate recensioni favorevoli. Google ha rimosso i suddetti componenti dal catalogo Chrome Web Store entro 24 ore dalla segnalazione. La pubblicazione dei primi componenti dannosi è iniziata a febbraio, ma il picco è stato raggiunto a marzo (34,69%) e aprile (63,26%).
La creazione di tutti i componenti aggiuntivi è collegata a un unico gruppo di aggressori, che ha dispiegato 14 server di controllo per gestire il codice dannoso e raccogliere i dati intercettati dai componenti aggiuntivi. In tutti i componenti aggiuntivi è stato utilizzato un codice dannoso standard, ma i componenti stessi sono stati camuffati per sembrare diversi prodotti, Ledger (57% dei componenti aggiuntivi dannosi), MyEtherWallet (22%), Trezor (8%), Electrum (4%), KeepKey (4%), Jaxx (2%), MetaMask ed Exodus.
Durante la configurazione iniziale del componente aggiuntivo, i dati venivano inviati a un server esterno e dopo un certo periodo, i fondi venivano prelevati dal portafoglio.
Fonte: opennet.ru
