Redazione RHC : 10 Agosto 2025 10:17
Gli analisti di Koi Security hanno scoperto la campagna malware GreedyBear attiva nello store dei componenti aggiuntivi di Mozilla. 150 estensioni dannose per Firefox hanno rubato agli utenti criptovalute per un valore di oltre 1 milione di dollari. I componenti aggiuntivi fraudolenti si spacciavano per estensioni di popolari portafogli di criptovalute di piattaforme note, tra cui MetaMask, TronLink, Exodus e Rabby Wallet. Inizialmente, venivano caricati sullo store senza codice dannoso per superare i controlli e venivano lasciati inattivi per un certo periodo, accumulando false recensioni positive.
L’estensione non è ancora diventata dannosa.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?
Stiamo per avviare il corso intermedio in modalità "Live Class", previsto per febbraio.
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato.
Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
In una fase successiva dell’attacco, gli editori dell’estensione hanno rimosso il marchio originale e lo hanno sostituito con nuovi nomi e loghi, e hanno anche incorporato malware nel codice progettato per rubare i dati del portafoglio e gli indirizzi IP degli utenti (probabilmente a scopo di tracciamento o targeting). Il codice dannoso agiva come un keylogger, intercettando i dati immessi nei campi dei moduli e nelle finestre pop-up e inviandoli al server degli aggressori.
Gli specialisti di Koi Security hanno informato gli sviluppatori di Mozilla delle loro scoperte e le estensioni dannose sono state rimosse dallo store dei componenti aggiuntivi di Firefox. Tuttavia, oltre alle estensioni di Firefox, l’operazione coinvolge anche decine di siti di software pirata che aiutano a distribuire 500 diversi eseguibili di malware, nonché una rete di siti che si spacciano per risorse ufficiali di Trezor e Jupiter Wallet e falsi servizi di riparazione di portafogli hardware, riferiscono i ricercatori.
Sito web di portafoglio Jupiter falso
Tutti questi siti sono collegati a un singolo indirizzo IP (185.208.156[.]66), che funge da server di controllo per GreedyBear. In questi casi, vari trojan, infostealer (come Lumma) o persino ransomware possono essere utilizzati come payload dannosi. Il rapporto afferma inoltre che l’analisi della campagna ha rivelato chiari artefatti che indicano che gli aggressori stavano utilizzando l’intelligenza artificiale.
“Ciò consente agli aggressori di ampliare le proprie operazioni, diversificare i payload ed eludere il rilevamento in modo più rapido e semplice che mai”, scrivono gli esperti. L’azienda ha inoltre avvertito che gli operatori di GreedyBear stanno chiaramente valutando la possibilità di distribuire il malware anche tramite il Chrome Web Store. I ricercatori hanno trovato un’estensione dannosa di Chrome chiamata Filecoin Wallet che utilizzava la stessa logica per rubare dati ed era collegata all’indirizzo IP sopra menzionato.
È importante sottolineare che a giugno 2025, gli sviluppatori di Mozilla hanno introdotto un nuovo sistema per il rilevamento precoce di componenti aggiuntivi correlati alle frodi con criptovalute. Il sistema crea profili di rischio per ogni estensione wallet presente nello store e avvisa automaticamente dei rischi al raggiungimento di una soglia specificata.
Questi avvisi dovrebbero incoraggiare le persone che esaminano i componenti aggiuntivi a esaminare più attentamente le estensioni specifiche per rimuovere il malware dallo store prima che venga utilizzato per svuotare i portafogli degli utenti.
RedazioneE’ stata rilevata una falla critica zero-day nei sistemi Citrix NetScaler, catalogata come CVE-2025-6543, che è stata oggetto di sfruttamento attivo da parte degli hacker criminali da maggio 2025, ...
Il Pentagono ha inviato una “lettera di preoccupazione” a Microsoft documentando una “violazione di fiducia” in merito all’utilizzo da parte dell’azienda di ingegneri cinesi per la manuten...
Google è pronta ad adottare una posizione più proattiva per proteggere se stessa e potenzialmente altre organizzazioni statunitensi dagli attacchi informatici, con l’azienda che suggerisce di pote...
Una falla di sicurezza nelle app di messaggistica di WhatsApp per Apple iOS e macOS è stata sanata, come riferito dalla stessa società, dopo essere stata probabilmente sfruttata su larga scala insie...
Un avviso di sicurezza di vasta portata è stato pubblicato da Google per i 2,5 miliardi di utenti del suo servizio Gmail, con l’obiettivo di rafforzare la protezione dei loro account a seguito di u...
