Thomas Daniels
Meer as 40 nagemaakte blaaieruitbreidings wat vir Mozilla Firefox ontwerp is, is gekoppel aan 'n volgehoue phishing-veldtog wat kriptogeldeenheidgebruikers teiken, volgens 'n verslag wat Woensdag deur die kuberveiligheidsfirma Koi Security vrygestel is.
Hierdie kwaadwillige uitbreidings boots wydgebruikte kripto-beursies na – insluitend Coinbase, MetaMask, Trust Wallet, Phantom, Exodus, OKX, MyMonero en Bitget – met die uitsluitlike doel om gebruikers se beursie-bewyse te steel. Sodra dit geïnstalleer is, onttrek die uitbreidings sensitiewe verifikasiedata van geteikende webwerwe en dra dit oor na afgeleë bedieners onder die aanvaller se beheer.
“Tot dusver kon ons meer as 40 verskillende uitbreidings aan hierdie veldtog koppel, wat steeds aan die gang is en baie lewendig is,” het Koi Security berig.
Die operasie, wat sedert ten minste April aktief is, is steeds aan die gang. Die mees onlangse uitbreidings is verlede week opgelaai, wat dui op voortgesette en aktiewe betrokkenheid van bedreigingsakteurs.
Sosiale Ingenieurswese op Skaal
Koi Security het opgemerk dat die veldtog oortuigende gebruikerskoppelvlakontwerpe, outentieke logo's en gekloonde funksionaliteite van wettige beursieverskaffers gebruik. In verskeie gevalle het aanvallers oopbronkode van amptelike uitbreidings hergebruik, kwaadwillige komponente ingebed om die oorspronklike gebruikerservaring na te boots terwyl sekuriteit stilweg in die gedrang gekom het.
Een besonder misleidende uitbreiding het honderde vervaardigde vyfster-resensies opgelewer, 'n taktiek wat daarop gemik is om geloofwaardigheid te versterk en niksvermoedende gebruikers te lok.
“Hierdie benadering met lae moeite en hoë impak het die akteur toegelaat om die verwagte gebruikerservaring te handhaaf terwyl die kanse op onmiddellike opsporing verminder word.”
Bewyse dui op Russiessprekende groep
Alhoewel definitiewe toeskrywing steeds ontwykend is, het Koi Security aanwysers uitgelig wat daarop dui dat 'n Russiessprekende bedreigingsgroep betrokke is. Dit sluit in Russies-talige kodekommentaar en metadata wat ontdek is in 'n PDF-dokument wat verkry is van 'n bevel-en-beheer-bediener wat met die wanware geassosieer word.
“Alhoewel dit nie afdoende is nie, dui hierdie artefakte daarop dat die veldtog moontlik van 'n Russiessprekende bedreigingsgroep afkomstig is.”
