Поддельные расширения Firefox крали сид-фразы и ключи криптокошельков

Кластер вредоносных расширений для Firefox, имитировавших криптокошельки Phantom, Jupiter и Bitget, использовался для кражи фраз восстановления и закрытых ключей. Идентификаторы расширений: 3092199 у имитатора Phantom, 3092666 у Jupiter и 3092059 у Bitget.

Расширения копировали фирменный стиль кошельков и использовали вводящие в заблуждение описания и гомоглифы Unicode, чтобы выглядеть легитимными. Подписанные пакеты содержали вредоносный код, а каждое расширение опубликовали через отдельный одноразовый аккаунт разработчика расширений Firefox. Все три расширения включали встроенные утилиты для кражи данных.

Расширение Jupiter содержало троянизированный фоновый скрипт, который выгружал мнемонические фразы и закрытые ключи при импорте кошелька. Ещё один компонент перехватывал секретные данные из полей ввода на странице и из буфера обмена. Расширение, имитировавшее Bitget, сканировало содержимое страниц и сообщения расширений, обращалось к хранилищу кошелька за сид-фразами во время расшифровки и манипулировало созданием вкладок, перенаправляя жертв на локальный экран импорта.

В расширении Phantom к фоновому сервисному работнику добавили удалённый загрузчик. Он получал конфигурацию с phantom.bonto.io/config, декодировал нагрузку в формате base64 и внедрял код в основной мир посещаемых страниц. Резервным вариантом служило внедрение в изолированный мир контент-скрипта. Управляемая сервером конфигурация позволяла включать и отключать нагрузку, а также менять её поведение без повторной отправки расширения на проверку.

Полученный стиллер выявлял фразы BIP-39 из 12, 15, 18 или 24 слов, а также закрытые ключи, совместимые с Ethereum и Solana, и отправлял перехваченные данные на сервер управления. Расширения выгружали данные на поддомены с названиями брендов в зоне bonto.io, в том числе на phantom.bonto.io, jupiter.bonto.io и bitget.bonto.io. Среди дополнительных зарезервированных хостов были coinbase.bonto.io и exodus.bonto.io. Это указывает на то, что рассматривались и другие бренды кошельков.

Пакет Phantom также содержал бэкенд на Node.js. Он фиксировал украденные секреты, передавал их в Telegram и выводил криптовалюту на заранее заданные адреса в нескольких блокчейн-сетях.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.