Un'ondata di estensioni malevole per Chrome ed Edge ha colpito decine di migliaia di utenti, rubando criptovalute e dati sensibili tramite moduli malware sofisticati. Google ha già rimosso le estensioni dal Chrome Web Store, ma alcune restano disponibili su Edge.
Un'indagine condotta dalla società di sicurezza Socket ha portato alla scoperta di una campagna di estensioni malevole per Google Chrome e Microsoft Edge, attive almeno dall'inizio del 2024. Queste estensioni, una volta installate, distribuivano un framework malware in grado di rubare criptovalute, dati sensibili e cronologia di navigazione, oltre a iniettare trappole ClickFix.
Come agivano le estensioni infette
Secondo Socket, molte delle estensioni incriminate offrivano inizialmente le funzionalità promesse e risultavano prive di codice malevolo. Tuttavia, almeno cinque di esse sono state successivamente acquisite da nuovi sviluppatori che hanno introdotto il malware tramite aggiornamenti automatici. Un esempio emblematico è l'estensione "Enable Right Click & Copy - Smart Unlock + OCR", che contava almeno 70.000 utenti su Chrome e 10.000 su Edge al momento della compromissione. Google ha rimosso rapidamente la versione Chrome dal Web Store, mentre quella per Edge risultava ancora disponibile al momento della pubblicazione del rapporto Socket.
Funzionalità e rischi del malware
Il malware stabiliva una connessione WebSocket criptata con server di comando e controllo (C2), scaricava moduli JavaScript, rimuoveva le intestazioni Content Security Policy (CSP) da ogni sito visitato e iniettava script dannosi tramite elementi HTML nascosti. Le capacità osservate includevano:
- Furto di portafogli EVM, Solana e Tron tramite la sostituzione dei pulsanti "Connect Wallet" e "Swap"
- Sostituzione dei siti Ledger e Trezor con pagine di phishing per la frase seed
- Esfiltrazione di sessioni, token, dati account e saldi da Coinbase, Binance, Kraken, OKX, MEXC, KuCoin, Bybit e MetaMask
- Registrazione di credenziali e dati inseriti nei form su vari siti
- Raccolta di informazioni da account Facebook e LinkedIn
- Esportazione della cronologia di navigazione
- Visualizzazione di falsi aggiornamenti browser in stile ClickFix che invitano l'utente a eseguire comandi dannosi
Estensioni coinvolte e raccomandazioni per gli utenti
Socket ha pubblicato l'elenco completo degli ID delle estensioni coinvolte e dei domini utilizzati per la comunicazione C2. Al momento della pubblicazione, nessuna delle estensioni malevole risultava più disponibile sul Chrome Web Store, ma alcune versioni per Edge erano ancora scaricabili.
Gli utenti che hanno installato una delle estensioni segnalate dovrebbero considerare compromesse le proprie credenziali e cambiare immediatamente le password di accesso. Chi detiene criptovalute è invitato a trasferire i fondi su un nuovo wallet per evitare ulteriori rischi.
Contesto e precedenti nel settore
La vicenda si inserisce in un contesto di crescente attenzione verso la sicurezza delle piattaforme digitali e delle estensioni browser. Anche altre grandi piattaforme hanno recentemente affrontato problemi di sicurezza e interruzioni di servizio, come dimostrato dal blackout globale che ha colpito GitHub e che è stato approfondito in questo articolo di QWERTYmag.
