La truffa GreedyBear diffusa tramite estensioni Firefox ha rubato 1 milione di dollari in criptovaluta: Koi Security

Il gruppo di truffe GreedyBear ha rubato oltre 1 milione di dollari in criptovalute attraverso una campagna di attacchi coordinata.

Koi Security ha segnalato che il gruppo ha lanciato 150 estensioni di Firefox armate oltre a 500 eseguibili malevoli. L'operazione ha utilizzato estensioni di portafoglio false, siti web di phishing e malware per colpire crypto utenti su più piattaforme.

Le frodi nelle estensioni di Firefox prendono di mira i popolari portafogli cripto

La truffa GreedyBear ha lanciato oltre 150 estensioni malevoli sullo store di Firefox che prendono di mira gli utenti di criptovalute. Le estensioni malevole impersonano portafogli popolari come MetaMask, TronLink, Exodus e Rabby Wallet. Le estensioni copiano tutte le interfacce dei portafogli legittimi per dirottare le credenziali degli utenti quando gli utenti provano ad accedere.

Gli hacker producono inizialmente estensioni dall'aspetto genuino, come sanificatori di link e downloader per YouTube, con funzionalità limitate. Con una serie di 5-7 utility generiche con nomi di editori freschi, stabiliscono tipicamente credibilità nel lungo termine.

Una volta che i criminali hanno costruito fiducia attraverso recensioni positive genuine, svuotano completamente queste estensioni. Modificano nomi, icone e iniettano codice dannoso, ma mantengono la cronologia originale delle recensioni positive. Questo metodo consente alle estensioni dannose di apparire affidabili per i nuovi utenti che navigano nel marketplace.

Le estensioni funzionano come strumenti per ottenere le credenziali del portafoglio dai campi di input nelle loro finestre pop-up. Le informazioni rubate vengono trasmesse a server remoti controllati dal gruppo criminale per essere sfruttate in seguito. Le estensioni trasmettono anche gli indirizzi IP delle vittime all'avvio per il tracciamento.

Questa azione è un seguito alle precedenti attività di Foxy Wallet che hanno identificato 40 estensioni malevole. L'ampiezza è ora aumentata più del doppio rispetto al caso iniziale. Le segnalazioni degli utenti confermano che le vittime hanno perso un valore significativo di criptovalute utilizzando questi falsi portafogli cripto in diversi intervalli di tempo.

Attacco multi-piattaforma combina malware e siti web di truffa

La truffa GreedyBear opera con quasi 500 eseguibili Windows malevoli insieme alla loro campagna di estensioni del browser. Questi programmi si diffondono attraverso siti web russi che distribuiscono software craccato e piratato a utenti ignari. La raccolta di malware si estende su più categorie di minacce per un potenziale di danno massimo.

I rubatori di credenziali come LummaStealer prendono di mira le informazioni dei portafogli cripto memorizzate sui computer delle vittime. Le varianti di ransomware crittografano i file degli utenti e richiedono pagamenti in criptovaluta per le chiavi di decrittazione. I trojan generici forniscono accesso backdoor per la consegna di payload aggiuntivi quando necessario.

Il gruppo mantiene anche un'infrastruttura di siti di servizi cripto impersonatori per il furto di dati. I siti di truffa sono servizi cripto dall'aspetto legittimo e non sono pagine di phishing tipiche. Anche i portafogli hardware del marchio Jupiter contengono mockup di un'interfaccia falsificati per ingannare i potenziali acquirenti e far rivelare i dettagli di pagamento.

Un altro esempio citato nel rapporto riguardava siti web di riparazione del portafoglio che pretendono di riparare prodotti Trezor danneggiati per i clienti frustrati. I siti impersonatori raccolgono le parole di recupero del portafoglio e le chiavi private fingendosi supporto tecnico. Alcuni domini sono attivi mentre altri sono inattivi, in attesa di attacchi mirati in futuro.

La varietà di metodi di attacco mostra che la truffa GreedyBear opera un ampio canale di distribuzione piuttosto che concentrarsi su una singola tecnica. Questo approccio diversificato consente al gruppo di cambiare tattiche in base a ciò che funziona meglio. Il riutilizzo dell'infrastruttura tra diverse famiglie di malware conferma una coordinazione centralizzata dietro tutti i componenti della campagna.

Server centralizzati controllano le operazioni di furto globali

GreedyBear gestisce l'intera attività criminale attraverso un singolo indirizzo IP a 185.208.156.66. Quasi tutti i domini utilizzati attraverso estensioni, payload malware e siti di phishing si connettono a questo server centrale. Questo hub gestisce le comunicazioni di comando e controllo, la raccolta di credenziali, il coordinamento del ransomware e l'hosting di siti web di truffa.

L'infrastruttura centralizzata consente agli attaccanti di razionalizzare le operazioni su più canali di attacco in modo efficiente. I dati provenienti da estensioni del browser, infezioni malware e vittime dei siti web fluiscono tutti verso lo stesso punto di raccolta. Questo approccio semplifica la gestione fornendo al contempo informazioni complete sulle vittime target.

Koi Security ha scoperto che il gruppo ha già iniziato ad espandersi oltre i browser Firefox. Un'estensione malevola per Chrome chiamata Filecoin Wallet ha utilizzato metodi identici di furto di credenziali mesi fa. Questa estensione Chrome comunicava con domini ospitati sulla stessa infrastruttura del server 185.208.156.66.

La connessione conferma che GreedyBear sta testando le operazioni su diversi ecosistemi di browser. Chrome, Edge e altri browser subiranno probabilmente campagne di estensioni simili nei prossimi mesi. La disponibilità del gruppo a sperimentare su diverse piattaforme mostra il suo impegno a scalare le operazioni.

Gli strumenti di IA hanno aiutato ad accelerare la crescita e la complessità della campagna, secondo l'analisi del codice. Gli artefatti generati nel malware suggeriscono che l'intelligenza artificiale assiste nella creazione e nel scaling dei payload. Questa tecnologia consente cicli di sviluppo più rapidi e una migliore elusione dei sistemi di rilevamento della sicurezza su diverse piattaforme.