ده‌ها افزونه جعلی فایرفاکس با بدافزار سرقت رمزارز مرتبط است

کاربران فایرفاکس هدف موجی از افزونه‌های جعلی کیف پول رمزارزی قرار گرفته‌اند که برخی از آن‌ها ماه‌ها اقدام به انتشار زنده‌ی نتایج فوتبال می‌کردند و سپس به‌طور پنهانی به ابزاری برای سرقت عبارات بازیابی تبدیل شدند.

تیم تحقیقات تهدیدات شرکت Socket یافته‌های خود را هفته گذشته منتشر کرد و با پیوند دادن ۷۷ هویت افزونه از طریق کد، زیرساخت و الگوهای انتشار مشترک، ۴۰ مورد از آن‌ها را مخرب تأیید کرد. سوابق امضای موزیلا نشان می‌دهد که این کمپین از ۹ مارس تا ۳ اوت فعال بوده و چندین افزونه در زمان گزارش‌دهی Socket همچنان فعال بوده‌اند.

کمپین ۷۷ افزونه فایرفاکس توسط Socket

تحقیقات تهدیدات Socket از یک کمپین ۷۷ افزونه در فایرفاکس پرده برداشت:
۴۰ مورد از آن‌ها اسرار و اطلاعات احراز هویت کیف پول را سرقت می‌کنند. ۳۷ مورد دیگر خود را به عنوان ابزارهای نامرتبط جا زده بودند اما نتایج ورزشی را نمایش می‌دادند. ۹ مورد به عنوان برنامه‌های نمایش امتیاز شروع به کار کردند و سپس در به‌روزرسانی‌های بعدی به بدافزار سرقت کیف پول تبدیل شدند.

این افزونه‌های مخرب، محصولات وب ۳ مانند OKX، Rabby Wallet، TronLink و سایرین را تقلید می‌کنند و اغلب از کاراکترهایی استفاده می‌کنند که به اندازه‌ی کافی شبیه نام‌های واقعی هستند تا در نگاه اول قابل تشخیص نباشند. حدود نیمی از آن‌ها رابط کاربری کیف پول قانع‌کننده‌ای ارائه می‌دهند و از کاربر می‌خواهند کیف پول موجود خود را وارد کند و در این فرآیند هرگونه عبارت بازیابی یا کلید خصوصی وارد شده را جمع‌آوری می‌کنند. ۱۳ مورد دیگر نسخه‌های تغییر یافته Rabby هستند که به‌طور عادی عمل می‌کنند اما در حین ذخیره شدن، داده‌های حساب ذخیره شده کیف پول را به یک سرور خارجی ارسال می‌کنند. پنج مورد دیگر نیز اطلاعات احراز هویت ذخیره شده و محتویات کلیپ‌بورد را جمع‌آوری می‌کنند.

۳۷ هویت دیگر به شکل تولیدکننده رمز عبور، سوئیچ حالت تاریک، VPN، مبدل ارز و ابزارهای یادداشت‌برداری ظاهر می‌شوند، اما در واقع برنامه‌های نمایش زنده‌ی نتایج ورزشی را اجرا می‌کنند که همگی از یک اعتبارنامه‌ی ثابت برای یک ارائه‌دهنده‌ی داده‌های ورزشی قانونی استفاده می‌کنند.

نه افزونه‌ی مخرب تأیید شده نیز با همین روش شروع به کار کردند؛ انتشار برنامه‌های نتایج فوتبال، بسکتبال، NBA یا فوتبال آمریکایی با همان شناسه‌های فایرفاکس، و سپس در به‌روزرسانی‌های بعدی، کد آن‌ها با ابزارهای سرقت کیف پول جایگزین شد و پایگاه نصب و تاریخچه‌ی بررسی‌های اولیه را به ارث بردند. Socket این کمپین را “کارخانه‌ی سرقت کیف پول آفساید” نامید، اما هشدار داد که اپراتور واحدی پشت تمام این افزونه‌ها شناسایی نشده است.

یکی از کیف پول‌های جعلی OKX تنها دو مجوز، یعنی ذخیره‌سازی و تب‌ها را درخواست می‌کرد، زیرا هرگز نیازی به جستجو در مرورگر نداشت. این افزونه صرفاً یک صفحه‌ی راه دور را بارگذاری می‌کرد و منتظر می‌ماند تا کاربر عبارت بازیابی را وارد کند، که Socket این موضوع را محدودیتی در قضاوت افزونه‌ها بر اساس دسترسی درخواستی آن‌ها می‌داند.

تیم Socket اعلام کرد هر کسی که عبارت بازیابی یا کلید خصوصی را در یکی از این افزونه‌ها وارد کرده است، باید آن را “به طور دائم در معرض خطر” تلقی کند و وجوه خود را به کیف پول جدیدی منتقل کند، زیرا حذف یک افزونه، عبارتی را که قبلاً ارسال شده است، باطل نمی‌کند.

افزونه‌های مرورگر به یک مسیر تکراری برای سرقت رمزارز تبدیل شده‌اند؛ اخیراً یک افزونه‌ی کروم فاش شد که ماه‌ها کارمزد معامله‌گران سولانا را برداشت می‌کرد تا اینکه شناسایی شد، و مهاجمان همچنین ابزارهای سرقت را در نرم‌افزارهای تقلبی، یک برنامه‌ی جعلی کلیپ‌بورد مک و بازی‌های کامپیوتری توزیع شده از طریق استیم پنهان کرده‌اند.