Una nuova campagna malware dimostra ancora una volta quanto possa essere difficile distinguere un’estensione legittima da uno strumento progettato per compromettere la sicurezza degli utenti. I ricercatori di Socket hanno individuato 19 estensioni malevole per browser Chromium, distribuite attraverso gli store ufficiali di Google Chrome e Microsoft Edge, che nel tempo sono state trasformate in strumenti per sottrarre informazioni sensibili, comprese le credenziali dei wallet di criptovalute.
La campagna è particolarmente interessante per la sua durata e per il metodo utilizzato dai criminali informatici. Le estensioni, infatti, non si comportavano immediatamente come malware. Al contrario, per mesi avrebbero svolto regolarmente le funzioni dichiarate, accumulando installazioni e costruendo una reputazione apparentemente affidabile.
Il malware arrivava dopo mesi
È proprio la strategia temporale a rendere questa operazione particolarmente insidiosa. Le estensioni venivano inizialmente distribuite come normali componenti aggiuntivi e offrivano effettivamente le funzionalità promesse.
Soltanto attraverso successivi aggiornamenti gli sviluppatori introducevano gradualmente nuovo codice. Le versioni più recenti potevano così incorporare le capacità necessarie per raccogliere dati sensibili e compromettere i dispositivi senza destare immediatamente sospetti.
Secondo Socket, delle 19 estensioni individuate, 14 sarebbero state sviluppate direttamente dagli autori della campagna, mentre le altre cinque erano state precedentemente acquistate da sviluppatori o aziende legittime. Quest’ultimo elemento rende ancora più difficile per un utente valutare l’affidabilità di un’estensione basandosi soltanto sul suo autore o sulla sua storia.
La più popolare delle estensioni coinvolte avrebbe raggiunto circa 70.000 installazioni su Chrome e altre 10.000 su Edge. Complessivamente, quindi, la campagna avrebbe potuto raggiungere decine di migliaia di utenti.
Nel mirino soprattutto i wallet crypto
Il bersaglio più delicato della campagna erano i dati collegati ai wallet di criptovalute. Le estensioni potevano infatti trasformarsi in un punto di accesso privilegiato per intercettare informazioni utilizzate per accedere ai portafogli digitali.
Il rischio non riguarda soltanto chi conserva direttamente criptovalute sul proprio computer. Le estensioni del browser operano infatti all’interno di un ambiente che può avere accesso a numerose informazioni relative alla navigazione e alle pagine web visitate, rendendo un componente aggiuntivo compromesso un potenziale strumento particolarmente efficace per un attaccante.
La campagna utilizzava inoltre un’infrastruttura di comando e controllo descritta come flessibile, attraverso la quale gli operatori potevano gestire a distanza il comportamento del malware e distribuire nuove istruzioni.
Gli hacker aspettavano la massa critica
Uno degli aspetti più interessanti scoperti dai ricercatori riguarda il momento scelto per attivare le funzioni malevole.
Gli autori non sembravano avere fretta. L’obiettivo era infatti raggiungere una massa critica di installazioni prima di attivare pienamente la componente dannosa. Una volta accumulato un numero sufficientemente elevato di utenti, gli operatori potevano iniziare a sfruttare la base installata prima che l’attività venisse individuata e le estensioni rimosse dagli store.
È una strategia che sfrutta un elemento fondamentale della distribuzione software: gli aggiornamenti automatici. Un’estensione che oggi appare innocua può quindi diventare rischiosa attraverso una nuova versione pubblicata dallo stesso sviluppatore.
Anche Manifest V3 non è una garanzia
C’è poi un particolare che rende la vicenda ancora più interessante. Tutte e 19 le estensioni utilizzavano Manifest V3, lo standard introdotto da Google per le estensioni Chromium e presentato anche come un passo avanti sul fronte della sicurezza e del controllo dei permessi.
La vicenda dimostra però che l’utilizzo di Manifest V3, da solo, non può essere considerato una garanzia contro il malware. Un’estensione può infatti rispettare i requisiti tecnici dello standard e continuare comunque a rappresentare un rischio se il codice distribuito attraverso gli aggiornamenti viene compromesso o progettato con finalità malevole.
Manifest V3 ha inoltre rappresentato una controversa evoluzione dell’ecosistema delle estensioni Chrome, anche per le limitazioni introdotte nei confronti delle tecnologie utilizzate dai più potenti ad blocker.
Le estensioni sono state rimosse, ma attenzione
Le estensioni individuate da Socket sono state rimosse dagli store ufficiali di Chrome ed Edge. Questo però non significa automaticamente che tutti gli utenti precedentemente esposti siano al sicuro.
Chi aveva installato una delle estensioni coinvolte dovrebbe infatti verificare la presenza del componente aggiuntivo nel browser e procedere alla sua disinstallazione manuale, senza limitarsi a verificare se sia ancora disponibile sul Chrome Web Store o sullo store di Edge.
Il caso rappresenta anche un promemoria importante per chi utilizza wallet crypto dal browser. Installare un’estensione soltanto perché disponibile su uno store ufficiale non è sufficiente per considerarla automaticamente sicura. Anche un componente aggiuntivo apparentemente innocuo e utilizzato per mesi può diventare pericoloso dopo un aggiornamento.
La campagna scoperta da Socket mostra quindi un’evoluzione interessante delle tecniche utilizzate contro gli utenti Chromium: invece di distribuire immediatamente un’estensione chiaramente malevola, gli attaccanti possono costruire lentamente una base di utenti, guadagnare fiducia e trasformare il software in un’arma soltanto quando il numero di installazioni rende l’operazione sufficientemente remunerativa. Per chi custodisce criptovalute, è un ulteriore motivo per ridurre al minimo le estensioni installate e controllare con attenzione anche gli aggiornamenti dei componenti aggiuntivi già presenti nel browser.