Cómo las extensiones de navegador con armas de GreedyBear comprometieron más de $1M en participaciones en criptomonedas

Una operación sofisticada de ciberdelincuentes ha sido desvelada por los investigadores de Koi Security, revelando una campaña extensa orquestada por el grupo de amenazas ruso GreedyBear. Durante un período de cinco semanas que finalizó en agosto, los atacantes lograron extraer más de $1 millones en criptomonedas mediante una infraestructura de ataque multinivel.

El Arsenal: 150 Extensiones de Navegador y 500+ Archivos Maliciosos

La escala de esta operación fue asombrosa. GreedyBear desplegó 150 extensiones de Firefox armadas, distribuidas a través de decenas de sitios web engañosos diseñados para imitar plataformas legítimas. Paralelamente, los hackers robaron tokens de la infraestructura de soporte aprovechando casi 500 ejecutables maliciosos de Windows subidos a repositorios de software rusos que alojan aplicaciones pirateadas y reempaquetadas. Según Idan Dardikman, CTO de Koi Security, el ataque basado en Firefox resultó ser el vector más rentable, generando la mayor parte del botín de $1 millones.

La Técnica de Suplantación de Carteras

El mecanismo principal consistió en crear versiones falsificadas de carteras de criptomonedas populares. Los hackers apuntaron a MetaMask, Exodus, Rabby Wallet y TronLink—entre las soluciones de autogestión más utilizadas en el ecosistema cripto.

Los atacantes emplearon una técnica sofisticada llamada Extension Hollowing para sortear las revisiones de seguridad del mercado. El proceso funcionaba en etapas: primero, enviaban una versión legítima de la extensión a la tienda oficial, pasando la evaluación inicial. Una vez aprobada, la aplicación recibía actualizaciones incrementales que contenían código malicioso que pasaba desapercibido por los sistemas automatizados. Para reforzar la credibilidad, los actores de la amenaza fabricaban reseñas positivas de usuarios, creando una ilusión de confiabilidad que incentivaba las descargas.

Robo de Credenciales y Más Allá

Una vez que los usuarios desprevenidos instalaban las extensiones comprometidas, el malware comenzaba inmediatamente a recopilar credenciales de carteras y claves privadas. Estas credenciales de acceso robadas se convertían en las llaves del reino—los atacantes las utilizaban para vaciar las tenencias de criptomonedas de las carteras comprometidas.

Más allá de los ataques basados en navegador, los ejecutables maliciosos distribuidos en los espejos de software rusos servían como mecanismos de entrega para un conjunto más amplio de herramientas, incluyendo robo de credenciales, ransomware y varias variantes de troyanos. Este enfoque diversificado aseguraba múltiples vías para comprometer sistemas objetivo y extraer datos sensibles.

La campaña subraya una vulnerabilidad crítica en la cadena de seguridad: la confianza que los usuarios depositan en extensiones con apariencia oficial y la relativa facilidad con la que los actores de amenazas pueden explotar los mecanismos de actualización de canales legítimos de distribución de software.