In questo articolo Indice dei contenuti 3 sezioni
Chi ha installato negli ultimi mesi qualche estensione dal Chrome Web Store farebbe bene a controllare la lista dei componenti aggiuntivi attivi nel browser, perché diverse estensioni per Google Chrome e Microsoft Edge sono state usate per distribuire un framework malevolo capace di svuotare wallet di criptovalute, rubare credenziali e leggere la cronologia di navigazione. Non un singolo programma malevolo, ma un sistema modulare, pensato per crescere e adattarsi nel tempo.
I ricercatori che hanno ricostruito la campagna hanno contato 19 moduli distinti, ognuno con un compito preciso, descritti come “altamente estensibili”. Tradotto in parole semplici, chi sta dietro all’operazione può aggiungere nuove funzioni quando vuole, senza dover ripubblicare nulla. Le tracce più vecchie risalgono all’inizio del 2024, il che significa che il meccanismo potrebbe aver lavorato indisturbato per oltre due anni.
Estensioni comprate e poi trasformate in malware
Il dettaglio più sgradevole riguarda il modo in cui queste estensioni sono arrivate sui computer delle vittime. Al momento della pubblicazione, molte funzionavano esattamente come promesso e non contenevano codice dannoso. Cinque di esse sono state acquistate dai creatori originali e poi infettate tramite un aggiornamento automatico, quello che il browser installa in silenzio senza chiedere nulla.
Un caso emblematico è “Enable Right Click & Copy — Smart Unlock + OCR”, che contava almeno 70.000 utenti su Chrome e 10.000 su Microsoft Edge quando ha cambiato natura. Google se n’è accorta presto e l’ha rimossa dal proprio store, mentre la versione per Edge è rimasta disponibile ancora per un po’.
Una volta attivo, il malware apre una connessione WebSocket cifrata verso i server di comando e controllo, scarica moduli JavaScript, elimina le intestazioni Content Security Policy da ogni sito visitato e inietta script dannosi attraverso elementi HTML nascosti. È il tipo di attività che passa completamente inosservata durante la normale navigazione.
Wallet svuotati, credenziali raccolte e falsi aggiornamenti
L’elenco delle capacità osservate è lungo. I moduli riescono a prosciugare wallet EVM, Solana e Tron dirottando i pulsanti legittimi “Connect Wallet” e “Swap”, sostituiscono i siti di Ledger e Trezor con pagine di phishing molto credibili che chiedono la seed phrase, sottraggono sessioni, token, dati dell’account e saldi da Coinbase, Binance, Kraken, OKX, MEXC, KuCoin, Bybit e MetaMask.
Non si fermano alle criptovalute. Registrano credenziali e moduli compilati su qualsiasi sito, raccolgono informazioni sugli account Facebook e LinkedIn, esfiltrano la cronologia del browser e mostrano finti avvisi di aggiornamento in stile ClickFix, quelli che invitano la vittima a copiare e incollare un comando fornito dagli aggressori. Un classico, purtroppo ancora efficace.
Tra i nomi individuati nella campagna compaiono RapidLens, QuickLens, Password Protect PDF, Allow Copy, PixelCheck, Creative Library, Website Traffic Checker: MirrorSphere SEO Stats, Site Signal, SEO Pulse Pro, Private Crypto News Reader, Blockfolio: Address Monitor, Crypto Rates & Fiat Converter, Crypto Alerter, DeFi Pulse Tracker, Crypto Price Badge: Quick Glance, Multi-Chain Explorer, LedgerLook: Wallet Checker e Meta & Facebook Ad Library Spy. Un mix di strumenti SEO, utility per la produttività e app legate al mondo cripto, cioè proprio le categorie che attirano utenti con qualcosa da rubare.
Cosa fare adesso
Al momento nessuna delle estensioni malevole risulta più presente sul Chrome Web Store. Resta però il problema di chi le ha avute installate anche solo per un periodo limitato: in quel caso conviene dare per scontato che le credenziali siano state compromesse e procedere con il cambio di tutte le password di accesso.
Per chi detiene criptovalute il consiglio è più drastico. Spostare gli asset su un wallet creato ex novo, il prima possibile, senza riutilizzare chiavi o seed phrase precedenti. Chi ha analizzato il framework avverte inoltre che i moduli individuati potrebbero non essere tutti e che nuovi payload sono attesi man mano che il codice evolve.
