In questo articolo Indice dei contenuti 2 sezioni
Diciannove estensioni Chrome infette, distribuite per anni attraverso i canali ufficiali e capaci di sottrarre le credenziali dei portafogli di criptovalute, sono finite sotto la lente di un gruppo di ricercatori di sicurezza informatica. Il quadro che emerge è quello di una campagna costruita con calma, senza fretta, pensata per restare invisibile il più a lungo possibile. Un approccio che si allontana parecchio dall’idea del malware aggressivo e rumoroso, e che ha permesso ai responsabili di raggiungere decine di migliaia di utenti prima che qualcuno se ne accorgesse.
Il dettaglio più scomodo riguarda proprio la provenienza dei componenti aggiuntivi. Non software scaricato da siti oscuri o forum di dubbia reputazione, ma pacchetti presenti negli store ufficiali di Chrome e Microsoft Edge, quest’ultimo basato a sua volta sulla versione open source del browser di Google. L’estensione più diffusa del gruppo aveva accumulato circa 70.000 installazioni su Chrome e altre 10.000 su Edge, numeri che raccontano da soli quanto sia stato ampio il raggio d’azione.
Una trappola costruita con mesi di pazienza
Il meccanismo merita attenzione perché è qui che sta la vera differenza rispetto alle campagne più comuni. Per diversi mesi quelle estensioni hanno funzionato esattamente come promesso. Nessun comportamento anomalo, nessuna richiesta strana, nessun segnale che potesse insospettire chi le aveva installate. Facevano il loro lavoro, punto. Poi, aggiornamento dopo aggiornamento, sono arrivate le aggiunte silenziose, righe di codice che trasformavano uno strumento innocuo in un canale per il furto di dati sensibili.
L’obiettivo principale erano le credenziali di accesso ai wallet di criptovalute, insieme alla possibilità di compromettere più a fondo i sistemi delle vittime. Un bersaglio scelto con criterio, visto che nel mondo delle valute digitali una chiave sottratta significa fondi persi in modo praticamente irreversibile.
Interessante anche il modo in cui è stato messo insieme l’arsenale. Quattordici delle diciannove estensioni sarebbero state sviluppate direttamente dagli stessi truffatori, costruite quindi da zero con l’intenzione di trasformarle in strumenti offensivi una volta raggiunta una certa diffusione. Le altre cinque, invece, sono state acquistate da aziende e sviluppatori indipendenti del tutto legittimi. Un progetto nato pulito, portato avanti onestamente, magari venduto per pochi soldi da chi non aveva più tempo o voglia di mantenerlo, e finito nelle mani sbagliate insieme alla fiducia di tutti gli utenti che lo avevano già installato.
Infrastruttura flessibile e attesa della massa critica
Gli esperti che hanno analizzato la campagna hanno notato somiglianze con altre operazioni individuate negli anni precedenti. Il tratto comune riguarda l’infrastruttura di comando e controllo, descritta come particolarmente versatile, in grado di distribuire il malware in maniera discreta e di gestire le attività da remoto senza esporsi troppo. Niente attivazione a tappeto, quindi, ma una regia capace di decidere quando e su chi colpire.
La logica dietro tutto questo era piuttosto lucida. Chi gestiva l’operazione aspettava che le estensioni raggiungessero una massa critica di installazioni, perché solo a quel punto il ritorno avrebbe giustificato il rischio. Sapevano benissimo che, una volta scatenato il codice malevolo, la finestra utile sarebbe stata breve prima che qualcuno collegasse i puntini e facesse partire le segnalazioni. Meglio quindi accumulare utenti in silenzio per mesi e poi agire concentrando tutto in un intervallo ristretto.
Resta il nodo di fondo per chi usa un browser tutti i giorni, ossia il fatto che la presenza su uno store ufficiale non equivale a una garanzia permanente. Una estensione approvata oggi può cambiare natura domani attraverso un aggiornamento automatico, senza che l’utente debba fare nulla e senza alcun avviso visibile. Il controllo iniziale sui contenuti pubblicati non copre quello che accade nelle versioni successive, ed è esattamente lo spazio in cui questa campagna malware ha lavorato indisturbata per anni, sfruttando la fiducia costruita nei mesi precedenti come copertura per la fase finale dell’attacco.
