I ricercatori di Socket hanno scoperto una serie di estensioni dannose per Firefox. Queste imitano alcuni famosi portafogli digitali di criptovalute. L’obiettivo dei cybercriminali è evidentemente quello di prenderne il controllo senza che la vittima se ne renda conto o che ormai sia troppo tardi quando lo scopre. La tecnica è quella di fingersi un’estensione ufficiale e legittima per rubare frasi di recupero e chiavi private.
Ogni annuncio simula un portafoglio reale. Questi sono tra i portafogli di criptovalute più diffusi, e la campagna fa leva proprio su questa reputazione. Le estensioni richiedono le autorizzazioni necessarie per il furto di dati, mentre le relative descrizioni dichiarano di non raccogliere dati.
La campagna malevola si articola in tre fasi. La prima, definita Falso Phantom, sfrutta un piccolo loader integrato nell’estensione firmata che scarica uno stealer di secondo livello da phantom[.]bonto[.]io/config e lo esegue nel contesto principale (main world) di ogni pagina aperta dalla vittima, includendo, inoltre, uno stealer integrato e il backend di drenaggio fondi (drainer) gestito dall’operatore
Nella seconda, chiamata Falsi Jupiter e Bitget, lo stealer è direttamente impacchettato nell’estensione e invia i dati riservati sottratti a jupiter[.]bonto[.]io e bitget[.]bonto[.]io. Infine, nella terza fase, definita infrastruttura condivisa, per l’esfiltrazione sono stati configurati almeno cinque sottodomini di bonto[.]io con nomi riconducibili a brand noti (tra cui coinbase[.]bonto[.]io ed exodus[.]bonto[.]io).
Come proteggersi dalle estensioni dannose per Firefox
Gli esperti di Malwarebytes hanno spiegato come proteggersi dalle estensioni dannose per Firefox che imitano famosi portafogli digitali di criptovalute.
- Rimuovi l’estensione. Usa il menu con i tre puntini accanto ad essa e seleziona Rimuovi .
- Se hai mai inserito una frase o una chiave di accesso, crea un nuovo portafoglio su un dispositivo pulito e trasferisci immediatamente i tuoi fondi. Considera il vecchio portafoglio come compromesso.
- In futuro, installa i wallet solo tramite il link ufficiale del sito web del fornitore, non tramite i risultati di ricerca degli store.
