Pesquisadores de segurança cibernética descobriram um cluster de 18 extensões do Google Chrome e uma do Microsoft Edge publicadas nos últimos seis meses que continham código para roubo de segredos de carteiras e capacidades de drenagem de criptomoedas. As extensões, conforme identificado pelo pesquisador de segurança da Socket, Karlo Zanki, compartilham semelhanças no código e na tática, com evidências indicando que a campanha pode ter estado ativa por um período significativo.
Descoberta e escopo da campanha
A descoberta destaca um vetor de ataque persistente no ecossistema de extensões de navegadores, que muitas vezes é subestimado como um ponto de entrada crítico. As extensões maliciosas foram publicadas ao longo de seis meses, sugerindo uma operação sustentada que explorou a confiança dos usuários em ferramentas de produtividade e segurança. O cluster de extensões foi identificado por compartilhar similaridades no código e na tática, indicando uma campanha coordenada.
Funcionalidade maliciosa e impacto
As extensões foram projetadas para roubar segredos de carteiras e drenar criptomoedas. Isso representa um risco direto para usuários que armazenam ativos digitais ou utilizam carteiras de criptomoedas diretamente no navegador. A capacidade de drenar criptomoedas implica que as extensões não apenas roubam credenciais, mas também podem executar transações não autorizadas ou mineração de criptomoedas em segundo plano, consumindo recursos do sistema e comprometendo a integridade financeira do usuário.
Recomendações para usuários e administradores
Para mitigar esses riscos, é essencial que os usuários revisem periodicamente as extensões instaladas em seus navegadores, removendo aquelas que não são mais necessárias ou que parecem suspeitas. Administradores de TI em ambientes corporativos devem considerar políticas de gerenciamento de extensões que restrinjam a instalação de extensões não aprovadas, especialmente aquelas que solicitam permissões amplas de acesso a dados de navegação ou carteiras.
A vigilância contínua é fundamental, pois novas extensões maliciosas podem ser publicadas a qualquer momento. Ferramentas de segurança que monitoram o comportamento de extensões e alertam sobre atividades anômalas podem ajudar a detectar e bloquear essas ameaças antes que causem danos significativos.
Indicadores de comprometimento (IoCs)
Embora os detalhes específicos das extensões não tenham sido divulgados publicamente em todos os casos, a identificação do cluster por pesquisadores de segurança como a Socket fornece um ponto de partida para a investigação. Usuários e administradores devem estar atentos a extensões que solicitam permissões excessivas ou que apresentam comportamentos incomuns, como acesso não autorizado a dados de carteiras ou consumo excessivo de recursos do sistema.