Extensões para Chrome e Edge são flagradas roubando criptomoedas

Uma análise da empresa de cibersegurança Socket identificou 19 extensões para os navegadores Google Chrome e Microsoft Edge configuradas para roubar credenciais e esvaziar carteiras de criptomoedas.

Embora o Google tenha removido os complementos reportados da loja oficial, uma das versões adulteradas segue disponível na plataforma da Microsoft .

Segundo relatório técnico divulgado na quinta-feira (27), o esquema funciona em duas etapas para driblar os filtros de segurança .

Os criminosos publicam ferramentas legítimas ou compram extensões populares com boa reputação.

Após acumular a base de usuários, os invasores distribuem uma atualização automática que insere os recursos espiões nos navegadores.

“O maior risco para os usuários finais é a técnica operacional na qual o autor da ameaça adquire com sucesso extensões legítimas e lança novas versões capacitadas com funcionalidades maliciosas”, avaliou o pesquisador de segurança da Socket, Karlo Zanki.

Módulos maliciosos criavam telas falsas para enganar o usuário. (Reprodução/Socket) A atualização padrão dos navegadores faz o download da versão adulterada sem que o usuário perceba a troca de dono da ferramenta, acrescenta o analista.

Alcance e métodos de ataque Ao todo, o grupo criou 14 extensões e comprou outras cinco de desenvolvedores originais.

O caso de maior alcance envolve o complemento “Enable Right Click & Copy — Smart Unlock + OCR”, que somava mais de 80 mil instalações somando Chrome e Edge .

Criada originalmente pela empresa PreppHint , a ferramenta foi obtida pelos invasores e modificada para agir contra os usuários.

A campanha, batizada pela Socket como Superior, opera desde fevereiro de 2024.

Uma investigação da DomainTools revelou que os criminosos criaram mais de 100 sites falsos que imitavam serviços populares , como ferramentas de inteligência artificial e antivírus, para induzir vítimas a baixar os complementos diretamente da Chrome Web Store .

“As extensões normalmente têm dupla funcionalidade: elas geralmente parecem funcionar como o esperado, mas também se conectam a servidores maliciosos para enviar dados do usuário, receber comandos e executar códigos”, afirmou o relatório da DomainTools .

Página da extensão “Enable Right Click & Copy — Smart Unlock + OCR” no catálogo de complementos do Microsoft Edge, onde ferramenta permaneceu disponível com base de mais de 10 mil usuários. (Reprodução/Socket) O código malicioso anula barreiras de proteção das páginas e injeta módulos espiões em sites bancários, redes sociais e corretoras de ativos digitais.