Wenn Sie Krypto haben und Firefox verwenden, richten sich Hacker auf Sie

Die Cybersecurity-Firma Koi Security hat eine groß angelegte böswillige Kampagne für Kryptowährungsbenutzer durch gefälschte Firefox-Erweiterungen aufgedeckt.

Die Kampagne umfasst mehr als 40 Erweiterungen, die weit verbreitete Krypto -Brieftaschenwerkzeuge ausbleiben.

Dies umfasst Coinbase, Metamaske, Vertrauensbrieftasche, Phantom, Exodus, OKX, Keplr, MyMonero, Bitget, Sprung, Ethereum -Brieftasche und Filfox. Nach der Installation stehlen diese Erweiterungen stillschweigend Brieftaschen-Anmeldeinformationen und peelieren Sie sie auf Angreifer kontrollierte Server, wodurch die Benutzervermögen mit sofortigem Risiko platziert werden.

Krypto -Benutzer gefährdet

In seinem jüngsten Beitrag enthüllte Koi Security, dass die Kampagne seit mindestens April 2025 aktiv ist. Tatsächlich erschienen neue betrügerische Uploads im Mozilla Add-Ons-Geschäft erst letzte Woche, was darauf hinwies, dass die Operation andauert, adaptiv und beständig ist.

Diese Erweiterungen übertragen die externen IP -Adressen der Opfer während der Initialisierung, wahrscheinlich für die Verfolgung oder das Targeting, während die Brieftaschengeheimnisse direkt von gezielten Stellen extrahiert werden. Durch das Kopieren von Bewertungen, Bewertungen und Branding lassen die Angreifer ihre Erweiterungen vertrauenswürdig aussehen, was schließlich mehr Benutzer dazu bringt, sie herunterzuladen.

Viele der falschen Erweiterungen trugen Hunderte von gefälschten positiven Bewertungen, die ihre tatsächliche Benutzerbasis überschritten hatten, wodurch sie im Ökosystem von Mozilla Add-Ons weit verbreitet und seriös erscheinen.

In mehreren Fällen wurde festgestellt, dass Angreifer echte Open-Source-Brieftaschenverlängerungen und eingebettete böswillige Logik geklont haben und gleichzeitig die erwartete Funktionalität beibehalten haben. Dies wurde durchgeführt, um die Erkennung zu vermeiden und eine nahtlose Benutzererfahrung zu gewährleisten, eine Taktik, die einen fortgesetzten Diebstahl von Anmeldeinformationen ermöglichte, ohne den Verdacht zu erhöhen.

Die Untersuchung von Koi Security verfolgte die gemeinsame Infrastruktur und Taktik, Techniken und Verfahren (TTPs) der Kampagne über die Erweiterungen und zeigte einen koordinierten Betrieb, der sich auf die Ernte und die Benutzerverfolgung des Krypto -Ökosystems konzentrierte. Es wurde von Firefox -Benutzern aufgefordert, installierte Erweiterungen sofort zu überprüfen, verdächtige Tools zu deinstallieren und nach Möglichkeit Brieftaschen -Anmeldeinformationen zu drehen.

Das Unternehmen sagte auch, dass es aktiv mit Mozilla zusammenarbeite, identifizierte böswillige Erweiterungen zu entfernen und weitere Uploads mit dieser Kampagne zu überwachen.

Russische Hinweise im Kampagnencode

Beweise deuten darauf hin, dass eine russischsprachige Bedrohungsgruppe hinter der Kampagne stehen könnte. Koi Security behauptete, russischsprachige Notizen in den Code und Metadaten der Erweiterung von einem PDF auf einem Kontrollserver zu finden, das den russischen Text mit einem Steuerserver versteckt hat.

Diese Hinweise sind kein endgültiger Beweis, weisen jedoch auf einen möglichen russischsprachigen Schauspieler hin.

Der jüngste Bericht taucht Monate nach einem potenziellen Russland mit Krypto Phishing-Betrug mit gefälschten Zoom-Meeting-Links zur Stehlen von Millionen von Slowmist auf. Das Blockchain-Sicherheitsunternehmen übernahm die Aktivität der Malware auf einen Server in den Niederlanden, fand jedoch russischsprachige Skripte in den Tools der Angreifer, die mögliche russischsprachige Mitarbeiter angaben. Die Angreifer haben Brieftaschen ausgelöst und gestohlene Vermögenswerte in ETH über große Börsen umgewandelt.