- Expertos Flajera 150 complementos de Firefox que sirvieron como Infente de Infentes y Keyloggers
- Los complementos agregados a la tienda son benignos, pero cuando ganan una reputación, se transforman en malware
- Los Crooks roban criptografía y rastrean las direcciones IP de sus víctimas
Usuarios de criptomonedas que ejecutan Firefox navegador Debe tener cuidado: se ha detectado una importante campaña con el objetivo de robar sus tokens desde sus billeteras.
Recientemente, los investigadores de seguridad de KOI Security identificaron 150 complementos en la tienda Mozilla que sirvió como infadores de infantes de infantes.
Estos complementos comenzaron como herramientas benignas, que se hace pasar por billeteras criptográficas populares como Metamask, Tronlink o Rabby, pero después de acumular suficientes descargas y revisiones positivas, los atacantes los reemplazan con nuevos nombres y logotipos e inyectan código malicioso que roba credenciales de billeteras de usuarios y direcciones IP.
Ceñido
“Las extensiones armadas capturan credenciales de billetera directamente de los campos de entrada del usuario dentro de la interfaz emergente de la extensión y las exfiltran a un servidor remoto controlado por el grupo”, dijo Koi Security en su artículo.
“Durante la inicialización, también transmiten la dirección IP externa de la víctima, probablemente para fines de seguimiento o focalización”.
El código malicioso se generó parcialmente con la ayuda de IA, dijeron los expertos, llamando a la campaña “Greedybear” y afirmando que ya recaudó más de un millón de dólares.
El “oso” en el nombre podría ser una referencia a Rusia, ya que la operación aparentemente se complementa con docenas de sitios web de software pirateados que distribuyen 500 malware Variantes, así como Fake Trezor, Júpiter Wallet y otros sitios web de criptografía. Todos ellos están escritos en ruso.
El malware distribuido a través del sitio web es genérico, agregaron los investigadores, con Lummsealer destacando como un nombre más notable.
Todos los sitios están vinculados a la misma dirección IP, lo que significa que una sola entidad está ejecutando toda la operación.
Koi Security informó sus hallazgos a Mozilla, que eliminó rápidamente todos los complementos maliciosos de su repositorio. Sin embargo, los usuarios que los descargaron mientras tanto permanecerán en riesgo hasta que eliminen los complementos de sus navegadores y refrescan todas las credenciales de inicio de sesión.
A través de Computadora de soplado
