En bref

  • La société de sécurité Socket a lié 77 identités d'extensions Firefox à une campagne qu'elle appelle l'Usine de vol de portefeuilles Offside, confirmant que 40 d'entre elles sont malveillantes.
  • Elles se font passer pour OKX, Rabby Wallet et TronLink, capturant les phrases de récupération via de fausses interfaces de portefeuille ou des versions modifiées du code réel du portefeuille.
  • Neuf d'entre elles ont été publiées comme applications de scores sportifs avant que des versions ultérieures ne remplacent cette fonction par un code de vol de portefeuille.

Les utilisateurs de Firefox ont été ciblés par une chaîne de production d'extensions de portefeuille cryptographique contrefaites, dont certaines ont passé des mois à publier des scores de football en direct avant d'être discrètement converties en outils de vol de phrases de récupération.

L'équipe de recherche sur les menaces de Socket a publié ses conclusions la semaine dernière, reliant 77 identités d'extensions par le biais de code, d'infrastructure et de modèles de publication partagés, et confirmant que 40 d'entre elles sont malveillantes. Les enregistrements de signature de Mozilla placent la campagne du 9 mars au 3 août, plusieurs extensions étant encore actives lorsque Socket les a signalées.

Les modules complémentaires malveillants se font passer pour OKX, Rabby Wallet, TronLink et d'autres produits Web3, utilisant souvent des caractères qui ressemblent suffisamment aux noms réels pour tromper un coup d'œil. Environ la moitié présentent une interface de portefeuille convaincante et demandent à l'utilisateur d'importer un portefeuille existant, récoltant ainsi toute phrase de récupération ou clé privée saisie. Treize autres sont des versions modifiées de Rabby qui se comportent normalement tout en envoyant les données de compte stockées du portefeuille à un serveur externe lorsqu'elles sont enregistrées. Cinq collectent à la place les identifiants enregistrés et le contenu du presse-papiers.

Des scores de football au vol de portefeuille

Trente-sept autres identités sont déguisées en générateurs de mots de passe, bascules de mode sombre, VPN, convertisseurs de devises et outils de prise de notes, mais exécutent en réalité des applications de scores sportifs en direct, partageant toutes une seule information d'identification codée en dur pour un fournisseur légitime de données sportives.

Neuf extensions malveillantes confirmées ont commencé de la même manière, publiant des applications de scores de football, de basket-ball, de NBA ou de football américain sous les mêmes identifiants Firefox avant que des mises à jour ultérieures ne remplacent ce code par des voleurs de portefeuille, héritant de la base d'installation et de l'historique d'avis que l'original avait construits. Socket a nommé la campagne l'Usine de vol de portefeuilles Offside en raison de ce schéma, tout en avertissant qu'elle n'a pas établi qu'un seul opérateur se cache derrière chaque extension.

Un faux portefeuille OKX ne demandait que deux autorisations, le stockage et les onglets, car il n'avait jamais besoin de rechercher quoi que ce soit dans le navigateur. Il chargeait simplement une page distante et attendait que l'utilisateur saisisse une phrase de récupération, ce que Socket signale comme une limite de l'évaluation des extensions par les accès qu'elles demandent.

Toute personne ayant saisi une phrase de récupération ou une clé privée dans l'un de ces portefeuilles devrait considérer que celui-ci est "définitivement compromis" et transférer les fonds vers un nouveau portefeuille, a déclaré l'équipe de Socket, car désinstaller une extension ne révoque pas une phrase déjà envoyée ailleurs.

Les extensions de navigateur sont devenues une voie récurrente pour le vol de crypto-monnaies, avec une extension Chrome récemment exposée comme ayant siphonné des frais auprès de traders Solana pendant des mois avant d'être détectée, tandis que des attaquants ont également caché des voleurs dans des logiciels piratés, une fausse application de presse-papiers pour Mac et des jeux PC distribués via Steam.