La estafa GreedyBear se propagó mediante extensiones de Firefox y robó 1 millón de dólares en cripto: Koi Security
- La recientemente expuesta estafa de GreedyBear desplegó 150 extensiones de Firefox para robar credenciales de criptomonedas.
- La infraestructura del ataque incluye 500 ejecutables maliciosos y sitios web fraudulentos.
- La campaña coordinada robó más de 1 millón de dólares a usuarios de criptomonedas.
El grupo de estafas GreedyBear ha robado más de 1 millón de dólares en criptomonedas a través de una campaña de ataques coordinada.
Koi Security informó que el grupo lanzó 150 extensiones de Firefox armadas, además de 500 ejecutables maliciosos. La operación utilizó extensiones de billetera falsas, sitios web de phishing y malware para dirigirse a usuarios de criptomonedas en múltiples plataformas.
El fraude de extensiones de Firefox apunta a billeteras cripto populares
El estafa GreedyBear lanzó más de 150 extensiones maliciosas en la tienda de Firefox dirigidas a usuarios de criptomonedas. Las extensiones maliciosas suplantan billeteras populares como MetaMask, TronLink, Exodus y Rabby Wallet. Las extensiones copian todas las interfaces de billetera legítimas para secuestrar las credenciales de los usuarios cuando intentan iniciar sesión.
Los hackers inicialmente producen extensiones con apariencia genuina como sanitizadores de enlaces y descargadores de YouTube con funcionalidad limitada. Con una línea de 5-7 utilidades genéricas con nombres de editoriales frescos, generalmente establecen credibilidad a largo plazo.
Una vez que los criminales han construido confianza a través de reseñas positivas genuinas, vacían completamente estas extensiones. Alteran nombres, íconos e inyectan código dañino pero retienen el historial original de reseñas positivas. Este método permite que las extensiones dañinas parezcan confiables para nuevos usuarios que navegan por el mercado.
Las extensiones funcionan como instrumentos para obtener credenciales de billetera de los campos de entrada en sus ventanas emergentes. La información robada se transmite a servidores remotos controlados por el grupo criminal para su explotación en el futuro. Las extensiones también transmiten las direcciones IP de las víctimas al inicio para su seguimiento.
Esta acción es un seguimiento de la actividad anterior de Foxy Wallet que identificó 40 extensiones maliciosas. El alcance ha aumentado más del doble desde el caso inicial. Los informes de usuarios confirman que las víctimas perdieron un valor significativo de criptomonedas al utilizar estas extensiones de billetera falsas en diferentes intervalos.
El ataque multiplataforma combina malware y sitios web de estafa
La estafa GreedyBear opera casi 500 ejecutables maliciosos de Windows junto con su campaña de extensiones de navegador. Estos programas se propagan a través de sitios web rusos que distribuyen software pirateado y crackeado a usuarios desprevenidos. La colección de malware abarca múltiples categorías de amenazas para un potencial de daño máximo.
Los ladrones de credenciales como LummaStealer apuntan a la información de billeteras cripto almacenada en las computadoras de las víctimas. Las variantes de ransomware cifran los archivos de los usuarios y exigen pagos en criptomonedas por las claves de descifrado. Los troyanos genéricos proporcionan acceso de puerta trasera para la entrega de cargas útiles adicionales cuando sea necesario.
El grupo también mantiene una infraestructura de sitios de servicios cripto suplantados para el robo de datos. Los sitios de estafa son servicios cripto de apariencia legítima y no son páginas de phishing típicas. Las billeteras de hardware con la marca Jupiter también contienen maquetas de una interfaz que son falsificadas para engañar a los compradores potenciales y hacer que revelen los detalles de pago.
Otro ejemplo citado en el informe fueron sitios web de reparación de billeteras que afirman reparar productos Trezor dañados para clientes frustrados. Los sitios suplantados recopilan palabras de recuperación de billeteras y claves privadas mientras se hacen pasar por soporte técnico. Algunos dominios están activos mientras que otros están inactivos, esperando ataques dirigidos en el futuro.
La variedad de métodos de ataque muestra que la estafa GreedyBear opera un amplio pipeline de distribución en lugar de centrarse en una sola técnica. Este enfoque diversificado permite al grupo cambiar tácticas según lo que funcione mejor. La reutilización de infraestructura entre diferentes familias de malware confirma una coordinación centralizada detrás de todos los componentes de la campaña.
El servidor central controla las operaciones de robo global
GreedyBear opera toda su empresa criminal a través de una sola dirección IP en 185.208.156.66. Casi todos los dominios utilizados a través de extensiones, cargas útiles de malware y sitios de phishing se conectan a este servidor central. Este centro maneja comunicaciones de comando y control, recopilación de credenciales, coordinación de ransomware y alojamiento de sitios web de estafa.
La infraestructura centralizada permite a los atacantes optimizar las operaciones en múltiples canales de ataque de manera eficiente. Los datos de las extensiones del navegador, infecciones de malware y víctimas de sitios web fluyen todos al mismo punto de recopilación. Este enfoque simplifica la gestión mientras proporciona inteligencia integral sobre las víctimas objetivo.
Koi Security descubrió que el grupo ya ha comenzado a expandirse más allá de los navegadores Firefox. Una extensión maliciosa de Chrome llamada Filecoin Wallet utilizó métodos idénticos de robo de credenciales hace meses. Esta extensión de Chrome se comunicaba con dominios alojados en la misma infraestructura de servidor 185.208.156.66.
La conexión confirma que GreedyBear está probando operaciones en diferentes ecosistemas de navegadores. Chrome, Edge y otros navegadores probablemente enfrentarán campañas de extensiones similares en los próximos meses. La disposición del grupo a experimentar en diferentes plataformas muestra su compromiso con la escalabilidad de las operaciones.
Las herramientas de IA han ayudado a acelerar el crecimiento y la complejidad de la campaña según el análisis de código. Los artefactos generados en el malware sugieren que la inteligencia artificial asiste con la creación y escalado de cargas útiles. Esta tecnología permite ciclos de desarrollo más rápidos y una mejor evasión de los sistemas de detección de seguridad en diferentes plataformas.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Vignesh Karunanidhi
Vignesh es escritor de contenido cripto, periodista cripto, editor de contenido y gestor de redes sociales. Ha trabajado con Watcher.guru, BeInCrypto, CoinGape, Milkroad y Airdrops durante más de 6 años. Sus habilidades para cubrir noticias de tecnología, robótica, negocios e inteligencia artificial se perfeccionaron gracias a una maestría en Comercio.
