Fraude de extensões do Firefox da GreedyBear roubou $1M em cripto: Koi Security

O grupo de fraude GreedyBear roubou mais de $1 milhão em criptomoedas por meio de uma campanha de ataques coordenados.

A Koi Security relatou que o grupo lançou 150 extensões do Firefox armadas, além de 500 executáveis maliciosos. A operação usou extensões falsas de carteiras, sites de phishing e malware para atingir usuários de criptomoedas em várias plataformas.

Fraude de extensões do Firefox direciona carteiras de criptomoedas populares

A fraude GreedyBear lançou mais de 150 extensões maliciosas na loja do Firefox, direcionadas a usuários de criptomoedas. As extensões maliciosas se passam por carteiras populares como MetaMask, TronLink, Exodus e Rabby Wallet. Todas as extensões copiam interfaces legítimas de carteiras para sequestrar as credenciais dos usuários quando eles tentam fazer login.

Os hackers inicialmente produzem extensões com aparência genuína, como sanitizadores de links e downloaders do YouTube, com funcionalidade limitada. Com um conjunto de 5 a 7 utilitários genéricos com nomes de publicadores novos, eles geralmente estabelecem credibilidade a longo prazo.

Uma vez que os criminosos constroem confiança por meio de avaliações positivas genuínas, eles esvaziam totalmente essas extensões. Eles alteram nomes, ícones e injetam código prejudicial, mas mantêm o histórico original de avaliações positivas. Esse método permite que extensões prejudiciais pareçam confiáveis para novos usuários navegando no mercado.

As extensões funcionam como instrumentos para obter credenciais de carteiras a partir de campos de entrada em suas janelas pop-up. As informações roubadas são transmitidas para servidores remotos controlados pelo grupo criminoso para exploração posterior. As extensões também transmitem os endereços IP das vítimas na inicialização para rastreamento.

Esta ação é uma continuação da atividade anterior da Foxy Wallet, que identificou 40 extensões maliciosas. O escopo aumentou mais do que o dobro em relação ao caso inicial. Relatos de usuários confirmam que as vítimas perderam valor significativo em criptomoedas ao usar essas extensões falsas de carteiras em diferentes intervalos.

Ataque multiplataforma combina malware e sites de fraude

A fraude GreedyBear opera quase 500 executáveis maliciosos do Windows junto com sua campanha de extensões de navegador. Esses programas se espalham por sites russos que distribuem software quebrado e pirata para usuários desavisados. A coleção de malware abrange várias categorias de ameaças para maximizar o potencial de dano.

Coletadores de credenciais como o LummaStealer visam informações de carteiras de criptomoedas armazenadas nos computadores das vítimas. Variantes de ransomware criptografam os arquivos dos usuários e exigem pagamentos em criptomoedas pelas chaves de descriptografia. Trojans genéricos fornecem acesso backdoor para entrega adicional de payloads quando necessário.

O grupo também mantém uma infraestrutura de sites de serviços de criptomoeda falsos para roubo de dados. Os sites de fraude são serviços de criptomoeda com aparência legítima e não são páginas típicas de phishing. Carteiras de hardware da marca Jupiter também contêm maquetes de uma interface falsificada para enganar potenciais compradores e fazê-los revelar detalhes de pagamento.

Outro exemplo citado no relatório foram sites de reparo de carteiras que afirmam reparar produtos Trezor danificados para clientes frustrados. Os sites falsos coletam palavras de recuperação de carteiras e chaves privadas, passando-se por suporte técnico. Alguns domínios estão ativos, enquanto outros estão inativos, aguardando ataques direcionados no futuro.

A variedade de métodos de ataque mostra que a fraude GreedyBear opera uma ampla pipeline de distribuição, em vez de se concentrar em uma única técnica. Essa abordagem diversificada permite que o grupo mude de táticas com base no que funciona melhor. A reutilização de infraestrutura em diferentes famílias de malware confirma a coordenação centralizada por trás de todos os componentes da campanha.

Servidor centralizado controla operações globais de roubo

A GreedyBear opera toda a sua empresa criminosa por meio de um único endereço IP em 185.208.156.66. Quase todos os domínios usados em extensões, payloads de malware e sites de phishing se conectam a este servidor central. Este hub lida com comunicações de comando e controle, coleta de credenciais, coordenação de ransomware e hospedagem de sites de fraude.

A infraestrutura centralizada permite que os atacantes otimizem as operações em múltiplos canais de ataque de forma eficiente. Dados de extensões de navegador, infecções por malware e vítimas de sites fluem todos para o mesmo ponto de coleta. Essa abordagem simplifica a gestão, ao mesmo tempo em que fornece inteligência abrangente sobre as vítimas-alvo.

A Koi Security descobriu que o grupo já começou a se expandir além dos navegadores Firefox. Uma extensão maliciosa do Chrome chamada Filecoin Wallet usou métodos idênticos de roubo de credenciais meses atrás. Esta extensão do Chrome se comunicava com domínios hospedados na mesma infraestrutura de servidor 185.208.156.66.

A conexão confirma que a GreedyBear está testando operações em diferentes ecossistemas de navegadores. Chrome, Edge e outros navegadores provavelmente enfrentarão campanhas de extensões semelhantes nos próximos meses. A disposição do grupo de experimentar em diferentes plataformas mostra seu compromisso em escalar as operações.

As ferramentas de IA ajudaram a acelerar o crescimento e a complexidade da campanha, de acordo com a análise de código. Artefatos gerados no malware sugerem que a inteligência artificial auxilia na criação e escalonamento de payloads. Essa tecnologia permite ciclos de desenvolvimento mais rápidos e melhor evasão dos sistemas de detecção de segurança em diferentes plataformas.