В расширениях Chrome и Edge нашли код для кражи криптовалюты и данных
Исследователи обнаружили 19 вредоносных расширений для браузеров Chrome и Edge, способных красть криптовалюту и данные пользователей. В части случаев вредоносный код появлялся через обновления уже после того, как расширение набрало аудиторию; среди целей были криптокошельки, биржи, учетные данные и информация из браузера. Самое популярное расширение насчитывало около 70 тыс. установок в Chrome и еще 10 тыс. в Edge.
В браузерах Chrome и Edge обнаружили 19 расширений с вредоносным кодом, который использовался для кражи криптовалюты и данных из браузера. Пять из них раньше были легитимными, но после смены владельцев получили вредоносные обновления. Еще 14 расширений злоумышленники создали сами. Исследователи Socket связывают все 19 расширений с одной кампанией, следы которой прослеживаются как минимум с февраля 2024 года.
Самым распространенным оказалось Enable Right Click & Copy — Smart Unlock + OCR. Его потенциальный охват оценивался примерно в 80 тыс. установок в двух браузерах. Исследователи уточняют, что вредоносная версия могла попасть не ко всем пользователям.
После обновления расширения могли загружать дополнительный JavaScript-код с сервера управления и внедрять его в открытые сайты. Один из сценариев подменял элементы страниц криптокошельков и бирж, другой показывал поддельные формы восстановления Ledger и Trezor и пытался получить секретную фразу кошелька.
Расширения могли собирать пароли, адреса электронной почты, данные активных сессий и историю посещений. Среди целей были Coinbase, Binance, Kraken, OKX, Bybit, MetaMask и другие криптовалютные сервисы. В кампании использовался и ClickFix — пользователю показывали ложное сообщение об обновлении браузера и предлагали самостоятельно выполнить подготовленную злоумышленниками команду.
К моменту публикации исследования расширения были удалены из Chrome Web Store. Версия для Edge некоторое время оставалась доступна, но более поздняя публикация указывает, что ее тоже убрали из магазина. Пользователям обнаруженных расширений рекомендуют удалить их, сменить пароли, а при возможной компрометации криптокошелька — перевести средства на новый.
Читайте также
