Компания Socket, специализирующаяся на безопасности цепочки поставок программного обеспечения, выявила в каталоге Firefox крупную сеть вредоносных расширений. Всего исследователи отследили 77 идентификаторов надстроек. Из них 40 признаны однозначно вредоносными, а ещё 37 классифицированы как обманные: они маскировались под безобидные утилиты, но фактически выполняли посторонние функции. Речь идёт о самых разных надстройках: от фальшивых криптовалютных кошельков до внешне безобидных тем оформления. По оценке экспертов, все они связаны единой инфраструктурой и общим происхождением.
Описание
Кампания, получившая название Offside Wallet Theft Factory, действует как минимум с марта 2026 года и продолжалась до августа. Пик активности пришёлся на апрель и конец июля. В процессе наблюдения специалисты выявили 18 дополнительных расширений, связанных с этой группой, так что общее число выросло с 59 до 77. Часть надстроек в момент написания отчёта оставалась доступной для установки. Злоумышленники активно подражали известным криптовалютным кошелькам, таким как OKX, Rabby Wallet и TronLink. Кроме того, в названиях использовались визуально похожие символы, чтобы ввести пользователей в заблуждение. Исследователи отмечают, что за время наблюдений идентификаторы расширений неоднократно менялись, а названия переиспользовались.
Как показал анализ Socket Threat Research, расширения объединяет повторное использование кода, общая инфраструктура и история версий. Например, некоторые надстройки использовали легитимные облачные сервисы для удалённого управления фишинговыми страницами. Другие содержали встроенные модули для кражи сид-фраз и приватных ключей. Третьи модифицировали код настоящего кошелька Rabby и перехватывали его внутренние данные до того, как они шифровались. Такой подход характерен для крупных операций, в которых злоумышленники массово создают клоны и перепрофилируют существующие расширения, чтобы увеличить охват и затруднить блокировку. В совокупности это указывает на единый конвейер выпуска вредоносных расширений, управляемый либо одной группировкой, либо тесно связанными между собой злоумышленниками.
Исследователи разделили вредоносные расширения на несколько кластеров по способу атаки. Семь расширений управлялись через облачную платформу Supabase: они загружали адрес фишинговой страницы и показывали её в интерфейсе, имитирующем кошелёк. Пятнадцать расширений отправляли введённые пользователем секреты на управляемые злоумышленниками серверы через сервис Cloudflare Workers. Ещё 13 модифицированных версий кошелька Rabby похищали сохранённое состояние кошелька в момент его записи. Некоторые из них были замаскированы под темы оформления, но внутри содержали модифицированный код настоящего кошелька. Наконец, пять расширений нацелены на кражу паролей и содержимого буфера обмена. Они собирали не только вводимые пароли, но и скопированные фрагменты текста, включая адреса и ключи. Чтобы не привлекать внимания, данные разбивались на части и отправлялись отдельными порциями.
Особый интерес представляют 37 расширений со спортивными табло. Они показывали актуальные результаты футбольных, баскетбольных и хоккейных матчей, хотя в описаниях значились генераторы паролей, тёмная тема, VPN-доступ и другие функции. Названия вроде Quick Temp, Smart Pass, Smart Proxy, Dash Money ничего не говорили о реальном поведении. Вместо обещанной функциональности пользователь получал панель с результатами матчей. Анализ показал, что девять вредоносных расширений ранее использовали точно такие же спортивные оболочки. В более новых версиях под теми же идентификаторами разработчики заменяли спортивную логику на код, похищающий кошельки. Это связывает обманные расширения с основной вредоносной кампанией и указывает на то, что спортивные табло могут служить предварительным этапом для будущих атак.
Механика атак не требует сложных технических действий. После установки расширение открывает поддельный интерфейс кошелька и предлагает создать или импортировать аккаунт. Жертва вводит сид-фразу - секретную комбинацию слов, которая полностью восстанавливает доступ к кошельку, - или приватный ключ. Эти данные немедленно передаются злоумышленникам. С их помощью они восстанавливают кошелёк на собственном устройстве и переводят средства на свои счета. В некоторых случаях кража происходила незаметно: модифицированный кошелёк продолжал работать как обычно, но при каждом сохранении отправлял копию состояния злоумышленникам до того, как оно шифровалось локально. Вредоносные расширения запрашивали минимум разрешений, поэтому заподозрить обман по перечню прав было почти невозможно.
Компания Socket уведомила Mozilla о действующих расширениях, и команда модерации удалила их из каталога. Тем не менее даже короткоживущая надстройка может причинить необратимый финансовый ущерб. Пользователи, которые уже ввели свои секреты, должны считать их скомпрометированными навсегда. Удаление расширения не отменяет факт передачи данных. Восстановить кошелёк в такой ситуации невозможно, а средства, скорее всего, уже выведены.
Аналитики ожидают, что злоумышленники продолжат адаптировать тактику и испытывать новые способы обхода модерации. Возможно усиление многоступенчатой доставки вредоносного кода, использование обновлений для превращения безобидного расширения в опасное и сокрытие вредоносности за легитимными облачными сервисами. Пользователям рекомендуется регулярно проверять установленные расширения, обращать внимание на резкие изменения в их поведении и обновлениях. Стоит воздерживаться от ввода секретных данных в интерфейсах, открытых расширениями, и не полагаться только на количество запрошенных разрешений. В этой кампании злоумышленникам часто вообще не требовались расширенные права. Для хранения значительных сумм разумно рассмотреть аппаратные кошельки, которые не требуют ввода секретов в браузерных расширениях.
Индикаторы компрометации
