In questo articolo Indice dei contenuti 2 sezioni
Diciotto estensioni per Chrome apparentemente normalissime nascondevano lo stesso codice malevolo, capace di svuotare wallet di criptovalute e di rastrellare dati sensibili direttamente dal browser. La scoperta arriva dai ricercatori di Socket, che hanno passato al setaccio il Chrome Web Store e trovato un intero gruppo di componenti aggiuntivi collegati fra loro. Una di queste estensioni era distribuita anche per Edge. Google le ha già rimosse dallo store, il che blocca nuove installazioni ma non risolve il problema per chi le ha già sul computer.
Il meccanismo usato è vecchio come il mondo, almeno in questo settore. Le estensioni vengono pubblicate in una versione pulita, che fa esattamente quello che promette nella descrizione, e in quel modo superano senza intoppi i controlli automatici e manuali di Google. Passa del tempo, arriva un aggiornamento e con l’aggiornamento arriva il malware. Le versioni incriminate risalgono ad almeno sei mesi fa, ma codice e tecniche ricordano molto da vicino una campagna partita a febbraio 2024. Cinque estensioni sono state acquistate dagli sviluppatori originali, quindi con una base di utenti già consolidata e fiducia guadagnata sul campo. Le altre sono state create da zero dai cybercriminali.
Un unico server dietro tutte le estensioni infette
L’indizio più solido riguarda l’infrastruttura. Tutte le estensioni comunicano con lo stesso server C2, il centro di comando e controllo, segno che dietro c’è un solo autore o un solo gruppo. Una volta stabilita la connessione, il componente scarica moduli JavaScript infetti, rimuove gli header Content Security Policy da ogni sito visitato e inietta script nelle pagine sfruttando elementi HTML nascosti. Tradotto in parole semplici, abbatte le protezioni che i siti usano per impedire l’esecuzione di codice non autorizzato e poi lavora indisturbato dentro le pagine.
I ricercatori hanno contato 16 moduli distinti, organizzati per svolgere sette attività diverse. La più redditizia è quella del wallet drainer. Le estensioni riconoscono i wallet basati su EVM, Solana e Tron, modificano i pulsanti “Connect Wallet” e “Swap” presenti sui siti e dirottano le transazioni verso indirizzi controllati dagli attaccanti. In alcuni casi arrivano a mostrare pagine false di Ledger e Trezor, costruite per convincere la vittima a digitare la propria seed phrase. Chi la inserisce consegna le chiavi di casa.
Credenziali, cookie e l’attacco ClickFix
Il resto dell’arsenale punta sui dati. Alcuni moduli sottraggono cookie, token di sessione e informazioni degli account su Coinbase, Binance, Kraken, OKX, MEXC, KuCoin, Bybit e MetaMask. Altri funzionano da grabber puro e catturano tutto quello che l’utente scrive nelle pagine web, quindi testo, indirizzi email e credenziali di accesso. Ci sono poi componenti dedicati a intercettare i dati personali presenti negli account Facebook e LinkedIn, oltre alla cronologia di navigazione salvata nel browser.
Chiude il quadro un modulo che riproduce l’attacco ClickFix, tecnica ormai diffusissima. Alla vittima viene mostrato un avviso che invita a installare un aggiornamento di Chrome seguendo alcune istruzioni. Chi le esegue, in realtà, lancia comandi che portano all’installazione di malware sul sistema. Nessun aggiornamento, solo un’infezione in più.
Come detto, le estensioni non sono più scaricabili dal Chrome Web Store, ma la rimozione dallo store non le cancella dai browser dove sono già attive. Chi ne ha installata una o più di una deve disinstallarle a mano, cambiare tutte le credenziali usate nel frattempo e spostare le criptovalute in un wallet nuovo, generato da zero. Le seed phrase eventualmente digitate su pagine sospette vanno considerate compromesse in modo definitivo.
