Un gruppo di 19 estensioni per Chrome ed Edge, attive da febbraio 2024, è stato scoperto con codice malevolo capace di rubare segreti dei wallet e svuotare criptovalute. La campagna, denominata Superior, sfrutta estensioni legittime e aggiornamenti automatici per colpire migliaia di utenti.
Un team di ricercatori di sicurezza informatica ha individuato 18 estensioni per Google Chrome e una per Microsoft Edge, pubblicate negli ultimi sei mesi, che contenevano codice progettato per rubare segreti dei wallet e svuotare criptovalute dagli account delle vittime. Secondo Karlo Zanki di Socket, le estensioni condividono elementi di codice e strategie operative, suggerendo che la campagna, denominata Superior, sia attiva almeno da febbraio 2024.
Il metodo utilizzato dagli attaccanti è semplice ma efficace: acquisiscono estensioni legittime già funzionanti o pubblicano versioni pulite prive di malware. Dopo aver raccolto un numero sufficiente di download, rilasciano un aggiornamento che introduce il comportamento malevolo, sfruttando le impostazioni di aggiornamento automatico di Chrome.
Estensioni coinvolte e modalità di attacco
Tra le 19 estensioni individuate, 14 sono state create direttamente dagli attaccanti, mentre 5 sono state acquistate da sviluppatori precedenti. Tra queste figurano nomi come "Enable Right Click & Copy - Smart Unlock + OCR", "RapidLens - Google Lens for Screen Search & Images", "QuickLens - Search Screen with Google Lens" e "Password Protect PDF". Alcune, come "QuickLens - Search Screen with Google Lens", erano già state segnalate da Annex Security e monxresearch-sec per la capacità di diffondere malware, iniettare codice arbitrario e raccogliere dati sensibili.
Le estensioni, spesso presentate come strumenti di produttività, analisi SEO, monitoraggio di criptovalute o utility per browser, funzionano apparentemente in modo regolare ma, in realtà, stabiliscono connessioni con server di comando e controllo (C2) per inviare dati degli utenti, ricevere istruzioni e eseguire codice dannoso.
Impatto e tecniche di esfiltrazione dati
L'estensione con il maggior impatto potenziale è "Enable Right Click & Copy - Smart Unlock + OCR", che conta circa 80.000 installazioni tra Chrome ed Edge. Tutte le estensioni sono in grado di collegarsi a server C2 e mantenere una connessione WebSocket persistente. Il framework di caricamento consente inoltre di ruotare dinamicamente gli endpoint C2, riducendo il rischio di rilevamento e permettendo una gestione personalizzata dei canali di esfiltrazione dati per ogni vittima.
Il codice malevolo, come osservato in "QuickLens", rimuove le intestazioni Content Security Policy (CSP) da ogni pagina e inietta moduli JavaScript su siti web mirati tramite content script. Sono stati identificati 16 moduli, tra cui wallet drainer multi-chain, strumenti per rubare seed phrase di hardware wallet, grabber di credenziali universali, ladri di account Facebook e LinkedIn, stealer della cronologia browser e moduli di social engineering come ClickFix, che induce l'utente a eseguire comandi dannosi tramite falsi aggiornamenti del browser.
Rischi per gli utenti e raccomandazioni
Non è ancora chiaro chi sia il gruppo responsabile, ma la sofisticazione e la durata della campagna indicano un attore molto capace. Il rischio principale per gli utenti deriva dalla tecnica di acquisizione di estensioni legittime, che vengono poi aggiornate con funzionalità malevole senza che l'utente se ne accorga, grazie agli aggiornamenti automatici di Chrome.
Gli esperti raccomandano di controllare regolarmente le estensioni installate, evitare di scaricare plugin da fonti sconosciute e prestare attenzione agli aggiornamenti improvvisi di estensioni già note. La vicenda sottolinea la necessità di maggiore vigilanza sia da parte degli utenti che delle piattaforme di distribuzione come Chrome Web Store e Microsoft Edge Add-ons.
