Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Gli analisti di Koi Security hanno scoperto la campagna malware GreedyBear attiva nello store dei componenti aggiuntivi di Mozilla. 150 estensioni dannose per Firefox hanno rubato agli utenti criptovalute per un valore di oltre 1 milione di dollari. I componenti aggiuntivi fraudolenti si spacciavano per estensioni di popolari portafogli di criptovalute di piattaforme note, tra cui MetaMask, TronLink, Exodus e Rabby Wallet. Inizialmente, venivano caricati sullo store senza codice dannoso per superare i controlli e venivano lasciati inattivi per un certo periodo, accumulando false recensioni positive.
L’estensione non è ancora diventata dannosa.
In una fase successiva dell’attacco, gli editori dell’estensione hanno rimosso il marchio originale e lo hanno sostituito con nuovi nomi e loghi, e hanno anche incorporato malware nel codice progettato per rubare i dati del portafoglio e gli indirizzi IP degli utenti (probabilmente a scopo di tracciamento o targeting). Il codice dannoso agiva come un keylogger, intercettando i dati immessi nei campi dei moduli e nelle finestre pop-up e inviandoli al server degli aggressori.
Gli specialisti di Koi Security hanno informato gli sviluppatori di Mozilla delle loro scoperte e le estensioni dannose sono state rimosse dallo store dei componenti aggiuntivi di Firefox. Tuttavia, oltre alle estensioni di Firefox, l’operazione coinvolge anche decine di siti di software pirata che aiutano a distribuire 500 diversi eseguibili di malware, nonché una rete di siti che si spacciano per risorse ufficiali di Trezor e Jupiter Wallet e falsi servizi di riparazione di portafogli hardware, riferiscono i ricercatori.
Sito web di portafoglio Jupiter falso
Tutti questi siti sono collegati a un singolo indirizzo IP (185.208.156[.]66), che funge da server di controllo per GreedyBear. In questi casi, vari trojan, infostealer (come Lumma) o persino ransomware possono essere utilizzati come payload dannosi. Il rapporto afferma inoltre che l’analisi della campagna ha rivelato chiari artefatti che indicano che gli aggressori stavano utilizzando l’intelligenza artificiale.
“Ciò consente agli aggressori di ampliare le proprie operazioni, diversificare i payload ed eludere il rilevamento in modo più rapido e semplice che mai”, scrivono gli esperti. L’azienda ha inoltre avvertito che gli operatori di GreedyBear stanno chiaramente valutando la possibilità di distribuire il malware anche tramite il Chrome Web Store. I ricercatori hanno trovato un’estensione dannosa di Chrome chiamata Filecoin Wallet che utilizzava la stessa logica per rubare dati ed era collegata all’indirizzo IP sopra menzionato.
AdvertisingÈ importante sottolineare che a giugno 2025, gli sviluppatori di Mozilla hanno introdotto un nuovo sistema per il rilevamento precoce di componenti aggiuntivi correlati alle frodi con criptovalute. Il sistema crea profili di rischio per ogni estensione wallet presente nello store e avvisa automaticamente dei rischi al raggiungimento di una soglia specificata.
Questi avvisi dovrebbero incoraggiare le persone che esaminano i componenti aggiuntivi a esaminare più attentamente le estensioni specifiche per rimuovere il malware dallo store prima che venga utilizzato per svuotare i portafogli degli utenti.
Sono ufficialmente aperte le adesioni al Program Sponsor della Red Hot Cyber Conference 2027, la sesta edizione dell’evento annuale gratuito promosso dalla community di Red Hot Cyber per diffondere cultura, competenze e consapevolezza sui temi della cybersecurity, dell’innovazione e delle tecnologie digitali. La Conference si terrà a Roma, martedì 18 e mercoledì 19 maggio 2027, presso l’Auditorium del Seraphicum, nel cuore del quartiere EUR, con una giornata dedicata ai workshop pratici e alle attività tecniche e una seconda giornata interamente dedicata alla conferenza.
Anche per il 2027, le aziende potranno scegliere di sostenere concretamente il progetto attraverso il Program Sponsor, partecipando alla crescita di un appuntamento che mette in relazione professionisti, aziende, istituzioni, studenti, ricercatori e appassionati di tecnologia. Il programma prevede la possibilità di aderire come Sponsor Sostenitore, una formula pensata per le aziende che desiderano essere tra le prime realtà a credere e contribuire alla realizzazione della nuova edizione, oppure attraverso i tre consueti livelli di sponsorizzazione Platinum, Gold e Silver. Ogni livello di sponsorizzazione acquistato, sarà accompagnato da un pacchetto Advertising, con l'opportunità di visibilità attraverso articoli, banner e contenuti all’interno del circuito editoriale di Red Hot Cyber.
Le aziende interessate a conoscere le formule disponibili, il Media Kit e tutte le opportunità previste dal Program Sponsor 2027 possono richiedere informazioni scrivendo a [email protected].