Chrome ed Edge sotto attacco: 19 estensioni rubano wallet, credenziali e sessioni

🛡️ Executive Summary

• Socket identifica 18 estensioni Chrome e una Edge collegate alla campagna Superior, attiva con tecniche riconducibili almeno al 2024.
• I moduli rubano seed phrase, credenziali, account social, cronologia e fondi crypto, oltre a distribuire lure ClickFix.
• Il rischio maggiore nasce dall’acquisto di estensioni legittime successivamente aggiornate con codice malevolo attraverso gli store ufficiali.

Diciannove estensioni distribuite attraverso Google Chrome e Microsoft Edge sono state collegate a una campagna capace di rubare criptovalute, seed phrase, credenziali e sessioni online. La ricerca di Socket identifica 18 estensioni Chrome e una Edge pubblicate negli ultimi sei mesi, ma il codice e l’infrastruttura suggeriscono che l’operazione, denominata Superior, possa essere attiva almeno dal febbraio 2024. Il caso amplia un problema già emerso con le 737 estensioni VPN Chrome utilizzate per instradare il traffico attraverso infrastrutture proxy controllate: lo store ufficiale non rappresenta più una garanzia sufficiente quando un’estensione può nascere pulita, accumulare utenti e trasformarsi successivamente in un vettore malware.

Superior comprende 18 estensioni Chrome e una Microsoft Edge

Secondo l’analisi tecnica pubblicata da Socket, il cluster comprende 19 estensioni, delle quali 14 sarebbero state create direttamente dagli attaccanti e cinque acquistate da sviluppatori precedenti. Tra queste figurano strumenti apparentemente innocui per OCR, ricerca con Google Lens, protezione PDF, analisi SEO, monitoraggio delle criptovalute e gestione delle librerie pubblicitarie. La scelta delle categorie non è casuale: sono utility che possono ottenere permessi significativi senza apparire necessariamente sospette e che possono accumulare una base utenti stabile prima dell’attivazione delle funzioni malevole. Una dinamica quasi identica era già comparsa con ShotBird, dove il trasferimento di proprietà di un’estensione Chrome legittima era stato seguito dall’introduzione di codice ostile. Superior trasforma però questa tecnica da singolo incidente in un modello operativo ripetuto su più prodotti.

Le estensioni acquistate diventano malware attraverso gli aggiornamenti automatici

Il passaggio più pericoloso è proprio l’acquisizione di estensioni già esistenti. Un utente può aver installato mesi prima uno strumento perfettamente funzionante, averne verificato recensioni e comportamento e non compiere più alcuna azione.

Quando il controllo dell’estensione passa a un nuovo proprietario, quest’ultimo può distribuire una nuova release attraverso lo stesso meccanismo di aggiornamento utilizzato normalmente dallo store. Chrome ed Edge scaricano quindi automaticamente il codice modificato senza richiedere una nuova installazione. È una forma di supply chain browser-side che riproduce la stessa logica osservata nelle compromissioni di crate Rust e pacchetti open source, dove la fiducia accumulata da un componente legittimo viene utilizzata come canale di distribuzione. Nel caso Superior, cinque delle estensioni analizzate sarebbero entrate nella campagna proprio dopo un passaggio di proprietà.

Leggi anche: 108 estensioni Chrome hanno rubato sessioni Telegram, token Google e dati degli account

Un WebSocket persistente collega il browser al server di comando e controllo

Le estensioni condividono un framework capace di stabilire una connessione WebSocket persistente verso un server C2. Il collegamento permette agli operatori di inviare istruzioni al browser compromesso, modificare dinamicamente gli endpoint e scaricare moduli JavaScript aggiuntivi. Socket ha inoltre osservato la possibilità di ruotare l’infrastruttura C2 sulla base delle indicazioni ricevute dal server iniziale, permettendo di dividere le vittime tra differenti backend e ridurre l’efficacia dei blocchi basati su dominio. Anche l’endpoint utilizzato per l’esfiltrazione può essere assegnato dinamicamente per singola vittima. Questa architettura avvicina l’estensione a un vero impianto malware modulare, più che a semplice adware, e ricorda le capacità viste nella falsa estensione PDF Viewer utilizzata da Jewelbug per iniettare JavaScript, rubare cookie e manipolare il browser.

La rimozione della Content Security Policy abilita l’iniezione di JavaScript

Uno dei passaggi tecnici centrali consiste nella manipolazione delle Content Security Policy delle pagine visitate. Il codice delle estensioni rimuove o altera gli header CSP, riducendo le protezioni previste dal sito contro l’esecuzione di script non autorizzati. A quel punto vengono utilizzati content script per inserire moduli JavaScript scaricati dal C2 direttamente nelle pagine aperte dall’utente.

Socket ha identificato 16 moduli differenti, segno che Superior non è progettato per una singola funzione ma come piattaforma estendibile. La possibilità di modificare il comportamento di siti legittimi dall’interno del browser è particolarmente critica perché l’utente continua a vedere il dominio corretto nella barra degli indirizzi. Lo stesso principio era emerso nelle 152 estensioni Chrome che manipolavano traffico Google e introducevano tracking nascosto direttamente nelle sessioni di navigazione.

Wallet drainer e seed phrase harvester colpiscono direttamente le criptovalute

La componente economicamente più aggressiva è il multi-chain wallet drainer, affiancato da moduli progettati per sottrarre seed phrase di hardware wallet e credenziali di exchange. Il malware può modificare le pagine utilizzate per gestire portafogli e servizi crypto, intercettare dati inseriti nei moduli e manipolare le operazioni visualizzate dall’utente. Un modulo specifico prende di mira le frasi seed degli hardware wallet, che rappresentano di fatto la chiave definitiva dei fondi: una volta ottenute, gli attaccanti non hanno più bisogno del dispositivo fisico né delle credenziali dell’account. La tecnica si inserisce nell’espansione delle campagne orientate direttamente al patrimonio digitale, come mostra Manic, malware Android capace di rubare PIN, OTP e seed phrase da wallet ed exchange. Nel browser il vantaggio per gli attaccanti è ancora maggiore, perché possono osservare il momento esatto nel quale l’utente interagisce con un wallet reale.

Il framework ruba anche Facebook, LinkedIn, password e cronologia

Superior non è però limitato alle criptovalute. I moduli individuati comprendono universal credential grabber, strumenti dedicati al furto di account Facebook e LinkedIn e un componente capace di acquisire la cronologia del browser. La raccolta di credenziali generaliste permette agli operatori di utilizzare lo stesso impianto per account takeover, social engineering, accesso a sistemi aziendali e rivendita delle identità compromesse. Un account LinkedIn rubato può diventare, per esempio, una piattaforma credibile per colpire dipendenti e recruiter; un profilo Facebook può essere utilizzato per frodi verso contatti già fidati. Questa contaminazione tra furto crypto e furto di identità era già evidente nelle campagne Firefox dove decine di estensioni condividevano infrastruttura per sottrarre wallet e credenziali, confermando che gli operatori non distinguono più rigidamente tra infostealer finanziari e malware per account takeover.

ClickFix trasforma una falsa notifica del browser in esecuzione di comandi

Tra i moduli individuati compare anche una variante ClickFix, tecnica che non sfrutta una vulnerabilità software ma convince l’utente a eseguire personalmente il payload. L’estensione può mostrare un falso messaggio di aggiornamento del browser e fornire istruzioni specifiche per il sistema operativo utilizzato, chiedendo di copiare e incollare un comando.

La vittima crede quindi di risolvere un problema tecnico, ma avvia direttamente codice controllato dagli attaccanti. L’integrazione di ClickFix all’interno di un’estensione già installata aumenta la credibilità della trappola, perché l’avviso compare durante una normale sessione web e non attraverso un allegato email o un sito palesemente estraneo. È una combinazione particolarmente efficace tra compromissione tecnica e ingegneria sociale, la stessa evoluzione che ha trasformato ClickFix in uno dei principali metodi di distribuzione di infostealer e loader nelle campagne recenti.

Enable Right Click & Copy raggiunge circa 80.000 installazioni

L’estensione con la maggiore esposizione potenziale è Enable Right Click & Copy — Smart Unlock + OCR, che avrebbe raggiunto complessivamente circa 80.000 installazioni tra Chrome ed Edge. La funzione dichiarata è comune: riabilitare copia, selezione e menu contestuale su siti che cercano di impedirli. Proprio la banalità dell’utility favorisce una lunga permanenza nel browser e riduce la probabilità che l’utente controlli frequentemente proprietà, sviluppatore o aggiornamenti. Socket evidenzia che le estensioni più efficaci della campagna non devono necessariamente mostrare comportamenti malevoli in modo permanente: possono mantenere le funzioni legittime e attivare soltanto moduli selezionati dal C2. È un’evoluzione rispetto alle campagne Chrome più rumorose basate su centinaia di estensioni false pubblicate direttamente sotto identità fittizie, perché Superior sfrutta anche la reputazione storica di software che gli utenti avevano già deciso di fidarsi.

Continua con:

• Chrome e npm sotto attacco tra 737 VPN false e centinaia di pacchetti malevoli
• Jewelbug usa estensioni browser per furto di cookie, credenziali e criptovalute

Il vero problema è la fiducia permanente concessa alle estensioni

La campagna Superior mostra un limite strutturale dell’attuale modello delle estensioni browser. L’utente decide di fidarsi una volta, ma quella fiducia continua anche quando cambiano codice, proprietario e infrastruttura dell’estensione. Gli aggiornamenti automatici sono fondamentali per distribuire correzioni di sicurezza, ma diventano contemporaneamente un vettore estremamente potente quando il publisher viene compromesso o il prodotto viene venduto. La stessa dinamica attraversa ormai browser, registri open source e marketplace per sviluppatori, come evidenziato dall’aumento degli attacchi supply chain basati sulla compromissione di maintainer, repository e pacchetti fidati. Per gli utenti non basta quindi controllare le recensioni prima dell’installazione: occorre ridurre il numero delle estensioni, verificare periodicamente i permessi e rimuovere quelle non indispensabili, soprattutto quando possono leggere e modificare i dati sui siti visitati. Superior dimostra che un componente innocuo oggi può diventare domani il punto di accesso diretto a wallet, password e identità digitali.