Extensões de Chrome e Edge roubam carteiras de 80 mil usuários

Cerca de 80 mil pessoas instalaram uma extensão de navegador que, em algum momento, passou a roubar o conteúdo das suas carteiras crypto.

O caso veio a público nesta semana, quando pesquisadores de segurança da Socket mapearam 19 extensões maliciosas de navegador, 18 para Google Chrome e uma para Microsoft Edge, todas operando com o mesmo framework modular de roubo de segredos. A campanha, batizada de Superior, tem conexões com atividades que remontam a fevereiro de 2024.

O grupo por trás da operação usou duas estratégias para espalhar o malware.

Das 19 extensões, 14 foram criadas pelos atacantes e publicadas como ferramentas de SEO, monitoramento e utilidades. As outras cinco foram compradas de desenvolvedores originais, que as haviam construído com funcionalidade limpa e base de usuários.

A extensão de maior alcance era o Enable Right Click & Copy, um programa inicialmente desenvolvido pela empresa PreppHint antes de ser adquirido pelo grupo criminoso. No momento em que o código malicioso foi introduzido, a versão para Chrome tinha cerca de 70 mil usuários, e a versão para Edge, outros 10 mil.

A extensão foi removida da Chrome Web Store depois que a Socket identificou o comportamento suspeito e reportou o caso ao Google.

A versão para Edge, no entanto, continuava ativa no momento da publicação do relatório, no dia 27 de agosto. Em 14 de agosto, os atacantes publicaram uma atualização da extensão para Edge e trocaram o endereço do servidor usado para controlar as máquinas infectadas, o que sugere que a operação continua se adaptando à detecção.

Como as extensões enganam o usuário

O mecanismo do malware combina evasão sofisticada com uma arquitetura modular que permite trocar as cargas maliciosas sem publicar uma nova versão da extensão. O service worker de cada extensão estabelece uma conexão WebSocket persistente com um servidor de comando e controle. Os dados que trafegam nesse canal são protegidos com criptografia AES-GCM, cuja chave nasce do identificador único da extensão combinado ao UUID de instalação. O servidor envia módulos JavaScript que ficam armazenados no armazenamento local da extensão e são executados sob demanda.

Antes de injetar qualquer código, o malware apaga os cabeçalhos de Content Security Policy de cada página aberta pelo usuário.

O CSP é a principal defesa do navegador contra execução de scripts não autorizados, e sua remoção abre caminho para a segunda etapa do ataque. Com o CSP desabilitado, os scripts de conteúdo da extensão criam elementos HTML ocultos nas páginas e definem manipuladores de eventos para executar os módulos maliciosos baixados do servidor. Quando o evento é disparado, o código malicioso roda no contexto principal da página, e o elemento é removido em seguida para não deixar vestígios.

Os 16 módulos do malware

A Socket observou 16 módulos maliciosos diferentes em uma única extensão comprometida. O módulo principal é um drenador multi-chain que reconhece carteiras dos ecossistemas EVM, Solana e Tron.

Ele sequestra os botões reais de Conectar Carteira e Fazer Swap nas páginas de aplicativos descentralizados, substituindo os manipuladores de evento originais por versões controladas pelo atacante. O usuário autoriza a transação achando que está interagindo com o site legítimo, mas está aprovando o roubo.

Outro conjunto de módulos foca em usuários de carteiras físicas. Quando a vítima acessa os sites oficiais da Ledger ou da Trezor, o malware assume o controle completo da página e exibe um assistente de recuperação falso, visualmente idêntico ao original. A vítima digita a frase de recuperação de 12, 18 ou 24 palavras, e o dado é capturado e exfiltrado. Quem entrega a seed phrase nesse tipo de página perde o controle da carteira para sempre.

Há também módulos de roubo de sessão que vasculham as abas abertas em busca de sessões ativas em exchanges como Binance, Coinbase, Kraken, OKX, MEXC, KuCoin e Bybit, além da MetaMask.

O malware coleta cookies, tokens de autorização, saldos e dados de perfil, material suficiente para um sequestro completo de conta. Um módulo batizado de superior-grabber funciona como um capturador universal de credenciais, monitorando eventos de foco, digitação e mudança em campos de senha, email e texto em qualquer página.

A campanha também conta com recursos que miram contas do Facebook e do LinkedIn, capturam o histórico de navegação e simulam avisos falsos de atualização do navegador, o chamado golpe ClickFix.

O que fazer se você instalou uma delas

O Chrome atualiza extensões automaticamente por padrão, o que significa que um usuário que instalou uma extensão legítima pode receber uma versão maliciosa sem precisar fazer nada. A Socket observou que nenhuma notificação é enviada ao usuário quando a propriedade de uma extensão muda de mãos.

A recomendação dos pesquisadores é simples. Quem usa Chrome ou Edge deve conferir com regularidade a lista de extensões instaladas e apagar tudo que não for indispensável. Quem desconfia de infecção ou usou uma das extensões citadas precisa encerrar as sessões ativas, trocar as senhas e, em se tratando de carteiras crypto, mover os fundos para uma carteira nova criada em um dispositivo limpo.