Gli analisti di Koi Security hanno scoperto la campagna malware GreedyBear attiva nello store dei componenti aggiuntivi di Mozilla. 150 estensioni dannose per Firefox hanno rubato agli utenti criptovalute per un valore di oltre 1 milione di dollari. I componenti aggiuntivi fraudolenti si spacciavano per estensioni di popolari portafogli di criptovalute di piattaforme note, tra cui MetaMask, TronLink, Exodus e Rabby Wallet. Inizialmente, venivano caricati sullo store senza codice dannoso per superare i controlli e venivano lasciati inattivi per un certo periodo, accumulando false recensioni positive.
L’estensione non è ancora diventata dannosa.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
In una fase successiva dell’attacco, gli editori dell’estensione hanno rimosso il marchio originale e lo hanno sostituito con nuovi nomi e loghi, e hanno anche incorporato malware nel codice progettato per rubare i dati del portafoglio e gli indirizzi IP degli utenti (probabilmente a scopo di tracciamento o targeting). Il codice dannoso agiva come un keylogger, intercettando i dati immessi nei campi dei moduli e nelle finestre pop-up e inviandoli al server degli aggressori.
Gli specialisti di Koi Security hanno informato gli sviluppatori di Mozilla delle loro scoperte e le estensioni dannose sono state rimosse dallo store dei componenti aggiuntivi di Firefox. Tuttavia, oltre alle estensioni di Firefox, l’operazione coinvolge anche decine di siti di software pirata che aiutano a distribuire 500 diversi eseguibili di malware, nonché una rete di siti che si spacciano per risorse ufficiali di Trezor e Jupiter Wallet e falsi servizi di riparazione di portafogli hardware, riferiscono i ricercatori.
Sito web di portafoglio Jupiter falso
Tutti questi siti sono collegati a un singolo indirizzo IP (185.208.156[.]66), che funge da server di controllo per GreedyBear. In questi casi, vari trojan, infostealer (come Lumma) o persino ransomware possono essere utilizzati come payload dannosi. Il rapporto afferma inoltre che l’analisi della campagna ha rivelato chiari artefatti che indicano che gli aggressori stavano utilizzando l’intelligenza artificiale.
“Ciò consente agli aggressori di ampliare le proprie operazioni, diversificare i payload ed eludere il rilevamento in modo più rapido e semplice che mai”, scrivono gli esperti. L’azienda ha inoltre avvertito che gli operatori di GreedyBear stanno chiaramente valutando la possibilità di distribuire il malware anche tramite il Chrome Web Store. I ricercatori hanno trovato un’estensione dannosa di Chrome chiamata Filecoin Wallet che utilizzava la stessa logica per rubare dati ed era collegata all’indirizzo IP sopra menzionato.
È importante sottolineare che a giugno 2025, gli sviluppatori di Mozilla hanno introdotto un nuovo sistema per il rilevamento precoce di componenti aggiuntivi correlati alle frodi con criptovalute. Il sistema crea profili di rischio per ogni estensione wallet presente nello store e avvisa automaticamente dei rischi al raggiungimento di una soglia specificata.
Questi avvisi dovrebbero incoraggiare le persone che esaminano i componenti aggiuntivi a esaminare più attentamente le estensioni specifiche per rimuovere il malware dallo store prima che venga utilizzato per svuotare i portafogli degli utenti.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Cyberpolitica
Cybercrime
Cybercrime
Cybercrime
Cultura