Una dintre aceste extensii, „Enable Right Click & Copy — Smart Unlock + OCR”, este disponibilă pentru Chrome și Edge. În momentul în care programul a devenit dăunător, baza sa de utilizatori în Chrome număra peste 70.000 de persoane, iar în Edge — aproximativ 10.000, conform estimărilor Socket, scrie bits.media.
După apariția în browser, programul malware stabilește o conexiune WebSocket criptată cu serverele de comandă și control (C2), încarcă module JavaScript, elimină anteturile Content Security Policy (CSP) de pe fiecare site vizitat și injectează scripturi dăunătoare prin elemente HTML ascunse. Acest lucru le permite hackerilor să intercepteze datele utilizatorilor de pe site-urile burselor de criptomonede și ale altor servicii.
Specialiștii de la Socket au descoperit că modulele malware pot goli portofelele EVM, Solana și Tron prin înlocuirea butoanelor „Conectează portofelul” și „Schimbă”, precum și prin înlocuirea site-urilor portofelelor hardware Ledger și Trezor cu pagini de phishing pentru a fura frazele de recuperare. Modulele maligne fură, de asemenea, criptoactive și datele conturilor de pe cele mai mari burse de criptomonede – Coinbase, Binance, Kraken, OKX, MEXC, KuCoin, Bybit – precum și din portofelul criptografic MetaMask.
În plus, extensiile transmit hackerilor datele și parolele introduse pe toate site-urile, colectează informații din conturile de Facebook și LinkedIn și extrag istoricul vizitelor. Programele malware afișează, de asemenea, actualizări false ale browserului, care îndemnă victima să execute comenzile dorite de atacatori. În prezent, niciuna dintre aceste extensii malware nu mai este disponibilă în Chrome Web Store, însă utilizatorilor Edge li se recomandă să verifice extensiile instalate.
Recent, compania Malwarebytes Labs a avertizat cu privire la o nouă schemă de phishing — hackerii creează site-uri web false de verificare a adreselor de criptomonede pentru spălarea banilor și încălcarea regimului sancțiunilor internaționale (AML). Pentru a obține acces neautorizat la computere, hackerii au profitat, de asemenea, de o vulnerabilitate a funcției „Partajare ecran” (Screen Sharing) a sistemului de operare macOS al companiei Apple.
