Descoberta e escopo da operação Superior
Uma campanha maliciosa identificada como Superior foi descoberta por pesquisadores da Socket.dev, envolvendo dezenove extensões de navegador que foram usadas para roubar dados sensíveis de usuários. A operação afeta principalmente o ecossistema do Google Chrome, com 18 extensões comprometidas, além de uma extensão do Microsoft Edge. O ataque explora a confiança dos usuários em ferramentas legítimas, utilizando atualizações automáticas para injetar código malicioso em add-ons previamente seguros.
A análise revelou que os atacantes adquiriram ou criaram extensões que ofereciam funcionalidades úteis, como monitores de preços, ajudantes de pesquisa e desbloqueio de cópia. Após estabelecerem credibilidade junto aos usuários, as versões subsequentes dessas extensões introduziram silenciosamente o código prejudicial. A extensão mais exposta, Enable Right Click & Copy – Smart Unlock + OCR, atingiu potencialmente até 80.000 usuários antes de ser removida das lojas oficiais.
Vetor de ataque e técnicas de evasão
O malware opera através de um framework flexível projetado para baixar e executar novos payloads sob demanda. As extensões comprometidas estabelecem um canal WebSocket criptografado para infraestrutura controlada pelos atacantes, permitindo receber módulos de código para tarefas específicas. Uma técnica crítica observada é a remoção do cabeçalho Content Security Policy (CSP) das páginas visitadas pela vítima. Normalmente, o CSP limita quais scripts podem ser carregados, mas sua remoção permite que a extensão injete código diretamente nas páginas web e dispare ações através de elementos ocultos.
Além disso, o sistema pode rotacionar servidores de controle e usar destinos separados para exfiltração de dados, dificultando a interrupção simples da campanha. A estrutura em camadas permite que os operadores alterem o comportamento sem publicar uma versão visivelmente diferente da extensão, mantendo a persistência mesmo após a detecção inicial.
Roubo de carteiras e credenciais
Os módulos baixados têm como alvo caminhos de alto valor, focando principalmente no roubo de segredos de carteiras de criptomoedas. Um módulo wallet drainer detecta carteiras EVM, Solana e Tron, substituindo o comportamento genuíno de botões como Connect Wallet ou Swap por solicitações de aprovação controladas pelos atacantes. Outro módulo apresenta telas convincentes de recuperação ou atualização para capturar seed phrases, concedendo controle total sobre a carteira ao criminoso.
Outros módulos visam sessões de exchanges e carteiras logadas, coletando cookies, tokens de acesso, informações de perfil e saldos de serviços como Coinbase, Binance, Kraken e MetaMask. Um coletor universal de formulários registra campos de texto, e-mail e senha em sites visitados, elevando o risco além do setor cripto para contas pessoais e logins corporativos.
Indicadores de Comprometimento (IoCs)
A investigação identificou diversos domínios de comando e controle (C2) e IDs de extensão maliciosos. Os domínios incluem variações como active-enable-right-click[.]top, api[.]enable-right-click[.]click e payload[.]siteinsight[.]bond. Extensões específicas afetadas possuem IDs únicos, como pkoccklolohdacbfooifnpebakpbeipc para a extensão Enable Right Click & Copy. É crucial notar que remover uma lista de verificação da loja não remove automaticamente o add-on instalado ou impede versões relacionadas em outras plataformas.
Medidas de mitigação recomendadas
Usuários devem revisar imediatamente as extensões instaladas, removendo aquelas desnecessárias e examinando qualquer adição que tenha mudado recentemente de editor ou permissões. Pessoas que usaram uma extensão afetada devem alterar senhas de um dispositivo limpo, revogar sessões ativas sempre que possível e mover criptomoedas para uma nova carteira se houver suspeita de que uma frase de recuperação foi inserida.
Equipes de segurança devem inventariar extensões de navegador e monitorar conexões de saída incomuns, aplicando lições de investigações anteriores de add-ons maliciosos. A vigilância contínua é essencial, pois a remoção de uma versão não garante a segurança completa do ambiente.
Perguntas frequentes
- Como saber se minha extensão foi comprometida? Verifique se há comportamentos estranhos, como redirecionamentos ou solicitações de permissão adicionais não solicitadas.
- Devo confiar em extensões com boas avaliações? Não necessariamente. Ataques como este mostram que extensões legítimas podem ser compradas e modificadas posteriormente.
- Qual a melhor proteção contra isso? Mantenha navegadores atualizados, revise permissões regularmente e use soluções de segurança que monitorem atividades de extensão.