){kind=link}
Uma análise da empresa de cibersegurança Socket identificou 19 extensões para os navegadores Google Chrome e Microsoft Edge configuradas para roubar credenciais e esvaziar carteiras de criptomoedas. Embora o Google tenha removido os complementos reportados da loja oficial, uma das versões adulteradas segue disponível na plataforma da Microsoft.
Segundo relatório técnico divulgado na quinta-feira (27), o esquema funciona em duas etapas para driblar os filtros de segurança. Os criminosos publicam ferramentas legítimas ou compram extensões populares com boa reputação. Após acumular a base de usuários, os invasores distribuem uma atualização automática que insere os recursos espiões nos navegadores.
smart_display
Nossos vídeos em destaque
“O maior risco para os usuários finais é a técnica operacional na qual o autor da ameaça adquire com sucesso extensões legítimas e lança novas versões capacitadas com funcionalidades maliciosas”, avaliou o pesquisador de segurança da Socket, Karlo Zanki.
A atualização padrão dos navegadores faz o download da versão adulterada sem que o usuário perceba a troca de dono da ferramenta, acrescenta o analista.
Alcance e métodos de ataque
Ao todo, o grupo criou 14 extensões e comprou outras cinco de desenvolvedores originais. O caso de maior alcance envolve o complemento “Enable Right Click & Copy — Smart Unlock + OCR”, que somava mais de 80 mil instalações somando Chrome e Edge. Criada originalmente pela empresa PreppHint, a ferramenta foi obtida pelos invasores e modificada para agir contra os usuários.
A campanha, batizada pela Socket como Superior, opera desde fevereiro de 2024. Uma investigação da DomainTools revelou que os criminosos criaram mais de 100 sites falsos que imitavam serviços populares, como ferramentas de inteligência artificial e antivírus, para induzir vítimas a baixar os complementos diretamente da Chrome Web Store.
“As extensões normalmente têm dupla funcionalidade: elas geralmente parecem funcionar como o esperado, mas também se conectam a servidores maliciosos para enviar dados do usuário, receber comandos e executar códigos”, afirmou o relatório da DomainTools.
)
O código malicioso anula barreiras de proteção das páginas e injeta módulos espiões em sites bancários, redes sociais e corretoras de ativos digitais. Além de interceptar senhas digitadas e capturar o histórico de navegação, o programa altera botões legítimos de conexão de carteiras de criptoativos e cria telas falsas de atualização de sistema operacional para induzir a vítima a instalar novos arquivos nocivos.
“Os usuários precisam ter cautela ao instalar extensões. O monitoramento contínuo é vital porque uma ferramenta confiável pode mudar instantaneamente. Revise suas extensões instaladas regularmente e remova qualquer uma que você não precise ou considere suspeita para diminuir a superfície de exposição”, alertou Karlo Zanki, da Socket.
Por falar em segurança no universo digital, um golpe da falsa entrevista de emprego mira celulares para roubar dados. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.