19 tiện ích Chrome và Edge bị phát hiện chứa mã đánh cắp ví tiền số
"Researchers identified 19 malicious Chrome and Edge extensions that were updated with wallet-stealing, crypto-draining, credential-harvesting, and arbitrary code execution capabilities. The campaign, tracked as Superior, appears to have been active since at least February 2024 and uses legitimate-looking extensions, C2-controlled WebSocket connections, CSP stripping, and injected modules to exfiltrate data and drain cryptocurrency wallets; no CVE is mentioned, and remediation is to remove the extensions and block the malicious infrastructure."
Rủi ro cao do tiện ích trình duyệt có thể đánh cắp ví tiền số và thu thập thông tin đăng nhập. Cơ chế C2/WebSocket và chèn mã vào trang web làm tăng khả năng kiểm soát từ xa và né phát hiện.
Ảnh hưởng đáng kể tới người dùng doanh nghiệp, đặc biệt các nhóm dùng trình duyệt để truy cập ví tiền số, sàn giao dịch hoặc dịch vụ nội bộ. Có thể phát sinh mất dữ liệu, gián đoạn vận hành và rủi ro sự cố an ninh lan rộng.
Các nhà nghiên cứu an ninh đã phát hiện 19 tiện ích mở rộng trên Google Chrome và Microsoft Edge có chứa mã độc liên quan đến đánh cắp ví, rút tiền số, thu thập thông tin đăng nhập và thực thi mã tùy ý. Chiến dịch này được theo dõi với tên Superior, có dấu hiệu hoạt động từ tháng 2/2024 và sử dụng các tiện ích trông hợp lệ để qua mặt người dùng.
Theo phân tích, kẻ tấn công có thể mua lại tiện ích hợp pháp hoặc phát hành bản sạch trước, sau đó cập nhật phiên bản độc hại khi đã có lượng cài đặt nhất định. Một số tiện ích duy trì kết nối WebSocket tới máy chủ C2, nhận lệnh từ xa và có thể thay đổi điểm điều khiển để giảm nguy cơ bị phát hiện. Trường hợp QuickLens còn cho thấy mã độc có thể gỡ Content Security Policy (CSP) và chèn mô-đun JavaScript vào trang đích.
Tổng cộng đã ghi nhận 16 mô-đun độc hại, gồm wallet drainer, thu thập seed phrase, đánh cắp tài khoản sàn giao dịch, lấy cắp biểu mẫu và lịch sử duyệt web. Biện pháp khuyến nghị là gỡ bỏ ngay các tiện ích bị ảnh hưởng, kiểm tra danh sách extension đang cài, và chặn hạ tầng C2 cùng các miền liên quan trên hệ thống bảo vệ mạng.