Изследователи по киберсигурност откриха клъстер от 16 зловредни разширения за Mozilla Firefox, които са способни да крадат фрази за възстановяване на криптовалутни портфейли и частни ключове.

„Разширенията се маскират като портали за портфейли, десктоп инструменти и браузърни помощни програми, но техният код прихваща фразите за възстановяване и частните ключове по време на процеса на импортиране на портфейла и прави опити да изпрати тези тайни данни към Cloudflare Workers, контролирани от атакуващия“, заяви изследователят от Socket Джоузеф Едуардс в своя анализ.

Имената на разширенията са посочени по-долу -

  • view-focus-bright@webtools.co@6.12.2
  • quick-track-nest@tabtools.co@8.1.18
  • vibe-kit-tool@fasttools.co@9.21.9
  • edge-hub-snap@protools.net@4.12.24
  • core-hub-peak@neattools.example@8.24.21
  • sipoo-grozza@browserweb.com@2.1
  • mozart-seo@webtools.com@1.4
  • clean-file-bar@neattools.com@4.21.8
  • clean-net-timer@plugify.example@4.17.1
  • manager-square@webtools.com@1.4
  • manager-course@webtools.com@1.4
  • val-andrew@browserweb.com@1.4
  • manager-team@browserweb.com@1.4
  • valory-andrew@browserweb.com@1.4
  • franklin-uk@browserweb.com@1.4
  • franklin-uro@browserweb.com@1.4

Четири от тези разширения са клонинги на Rabby Wallet, докато останалите са целеви клонинги на OKX Wallet. Установено е, че всички идентифицирани добавки с изключение на една се свързват сโดмейна „*.icy-star-f45c.workers[.]dev“. Крайната цел е събиране на мнемонични фрази и частни ключове и тяхното извличане към домейна на Cloudflare Workers.

Оценява се, че тази активност е продължение на по-ранна вълна, която компанията за сигурност на приложенията документира през август 2026 г. Констатациите показват, че авторите на заплахата ротират имената на пакетите, версиите, идентификаторите на разширенията, описанията и визуалния слой, докато преизползват същите интерфейси на портфейли, логика за обработка на идентификационни данни и мрежова инфраструктура.

Към 5 октомври 2026 г. всички разширения са премахнати. Потребителите, които са инсталирали някое от гореспоменатите разширения и са въвели истинска фраза за възстановяване или частен ключ във фалшивите интерфейси на портфейлите, трябва да считат данните си за компрометирани, да създадат нов портфейл от чиста система и да прехвърлят своите активи.

Откритията съвпадат с откриването на няколко зловредни или съмнителни разширения за Firefox, Google Chrome и Microsoft Edge през последните месеци -

  • Разширение за Firefox, наречено „ID- Pay“ (pdf-para-texto@extensao.local), което се представя за помощна програма за потвърждение на самоличността преди отваряне на защитени PDF документи, но съдържа функционалност за извличане на отдалечен зловреден код от инфраструктура на атакуващия и инжектиране на JavaScript в легитимния домейн „accounts.google[.]com“ с цел кражба на бисквитки за сесия.
  • Клъстер от 32 зловредни браузърни разширения в Chrome Web Store и Microsoft Edge Add-ons Store, които се маскират как безобидни помощни програми за производителност, но събират данни, наблюдават навиците на сърфиране на потребителя и незабележимо заменят активния раздел с целеви URL адрес, посочен в отдалечено извлечена конфигурация. Кампанията е активна от март 2025 г. и се приписва на киберпрестъпник, говорещ корейски език.
  • Клъстер от около 30 зловредни браузърни разширения, които се маскират като инструменти за производителност, помощни програми за поверителност и услуги, свързани с криптовалути, публикувани под имената на легитимни, известни финансови личности с цел пренасочване на жертвите към фишинг страници за крипто портфейли, проектирани да крадат фрази за възстановяване, като същевременно избягват англоезични потребители и среди за анализ.
  • Клъстер от 31 рускоезични разширения за Chrome, които се рекламират като VPN за конкретна блокирана услуга в страната (напр. Anthropic Claude, Facebook, Google Gemini, LinkedIn, Netflix, Notion, OpenAI ChatGPT, Spotify, Telegram, Threads, Wikipedia, X и YouTube), но пренасочват браузърния трафик през прокси, чийто списък със сървъри се извлича от URL адрес в GitHub Pages (или Blogger, Google Docs и Telegram за резервност) след инсталацията.
  • Разширение за Chrome Web Store на име Stylish, което прихваща всеки разговор с ChatGPT, Gemini, Claude, Perplexity, Character.AI и GitHub Copilot и препраща пълния текст на отговора към своя оператор.
  • Разширение за Chrome Web Store на име „Urban VPN“, което включва функция за „анти-фишинг“, предназначена да предупреждава потребителите преди посещение на вредни сайтове, но никога не връща предупреждение за фишинг и мълчаливо предава посетените URL адреси към сървъри, управлявани от BIScience. Urban VPN и преди е бил обвиняван в прихващане на разговори на потребители с AI чатботове. Разработчиците на разширението обаче изясниха, че обработката, свързана с AI, се случва само след като функцията „AI Protection“ бъде изрично активирана. По-рано през май разработчиците на добавката отстраниха уязвимост от висока степен на опасност, която позволяваше на всеки уебсайт да изпраща произволни команди към разширението без проверка на произхода.
  • Разширение за Chrome Web Store на име „Pop up blocker for Chrome™ - Poper Blocker“, което се рекламира като блокер на реклами, но съдържа интерпретатор, който изтегля и интерпретира инструкции от команден (C2) сървър, заобикаляйки правилата на Manifest V3 на Google, забраняващи това поведение. Командите му позволяват да събира цифрови отпечатъци на браузъра, история на сърфирането, информация от профили в социалните мрежи и взаимодействия с AI чатботове.

За справяне със заплахата, свързана със зловредните разширения, на потребителите се препоръчва да прегледат браузърните разширения, инсталирани в тяхната среда, и да премахнат тези, които вече не са необходими. На организациите се препоръчва да извършват одит на разширенията в управляваните среди, да внедрят подходи за наблюдение по време на изпълнение и да използват технологии за поведенчески мониторинг на разширенията за откриване на съмнителна активност.