Изследователи от компанията Socket разкриха кампания със злонамерени разширения за Google Chrome и Microsoft Edge, която вероятно е била активна още от началото на 2024 г. Злоумишлениците са използвали 16 модула с различни функции, като структурата им позволява сравнително лесно да се добавят нови възможности.

Някои от разширенията първоначално са били обикновени и са изпълнявали обявените функции. Според данните на Socket, злоумишлениците са получили поне пет от тях от първоначалните разработчици, след което са разпространили злонамерен код чрез автоматичните актуализации. Едно от тези разширения е „Enable Right Click & Copy, Smart Unlock + OCR“, което към момента на заразяването е било използвано от не по-малко от 70 000 души в Chrome и още около 10 000 в Edge.

Някои от разширенията за Chrome крадат криптовалута и данни от браузъра, сочи проучване на Socket Как функционира схемата за прихващане на информация

След инсталирането злонамереният код установява връзка с командния сървър, изтегля допълнителни JavaScript-модули и позволява внедряването на собствени скриптове в посещаваните уебсайтове. В резултат на това разширенията могат да откраднат данни за потребителски акаунти, токени, сесии и информация от уеб-формуляри, както и историята на браузъра.

Кампанията представлява особена опасност за притежателите на криптовалути. Зловредните модули са способни да подменят бутоните Connect Wallet и Swap, като открадват средства от портфейлите EVM, Solana и Tron. Освен това те могат да имитират сайтовете на Ledger и Trezor и да измъкват сид-фразите от потребителите. Под удар попадат също така акаунтите в Coinbase, Binance, Kraken, OKX, KuCoin, Bybit и MetaMask.

Друга функция са фалшивите актуализации на браузъра в стила на ClickFix. На потребителя се предлага да изпълни определени команди, които всъщност помагат на злоумишлениците да получат достъп до устройството или данните.

Към момента на публикуване на доклада злонамерените разширения вече са били премахнати от Chrome Web Store. При това Socket препоръчва на потребителите, които са успели да ги инсталират, да считат своите данни за компрометирани и да сменят паролите си. На притежателите на криптовалута също се съветва да прехвърлят активите си в нов портфейл.