Como as Extensões de Navegador Armadas do GreedyBear Comprometeram Mais de $1M em Participações em Criptomoedas

Uma operação sofisticada de cibercriminosos foi desmascarada pelos investigadores da Koi Security, revelando uma campanha extensa orquestrada pelo grupo de ameaça russo GreedyBear. Ao longo de um período de cinco semanas, até agosto, os atacantes conseguiram desviar mais de $1 milhões em criptomoedas através de uma infraestrutura de ataque em múltiplas camadas.

O Arsenal: 150 Extensões de Navegador e 500+ Ficheiros Maliciosos

A escala desta operação foi impressionante. GreedyBear implantou 150 extensões de Firefox armadilhadas, distribuídas por dezenas de sites enganosos projetados para imitar plataformas legítimas. Paralelamente, os hackers roubaram tokens de infraestruturas de suporte aproveitando quase 500 executáveis maliciosos do Windows carregados em repositórios de software russos que hospedam aplicações pirateadas e reembaladas. Segundo Idan Dardikman, CTO da Koi Security, o ataque baseado em Firefox revelou-se o vetor mais lucrativo, gerando a maior parte do saque de $1 milhões.

A Técnica de Falsificação de Carteiras

O mecanismo principal envolvia criar versões falsificadas de carteiras de criptomoedas populares. Os hackers visaram MetaMask, Exodus, Rabby Wallet e TronLink—entre as soluções de auto-custódia mais utilizadas no ecossistema cripto.

Os atacantes empregaram uma técnica sofisticada chamada Extension Hollowing para contornar as revisões de segurança do marketplace. O processo funcionava em etapas: primeiro, submetiam uma versão da extensão com aparência legítima à loja oficial, passando na avaliação inicial. Uma vez aprovada, a aplicação recebia atualizações incrementais contendo código malicioso que passava despercebido pelos sistemas automatizados. Para aumentar a credibilidade, os atores de ameaça fabricaram avaliações positivas de utilizadores, criando uma ilusão de confiabilidade que incentivava os downloads.

Roubo de Credenciais e Além

Assim que os utilizadores desavisados instalavam as extensões comprometidas, o malware começava imediatamente a recolher credenciais de carteiras e chaves privadas. Essas credenciais de acesso roubadas tornaram-se as chaves do reino—os atacantes usaram-nas para esvaziar as posições de criptomoedas das carteiras comprometidas.

Para além dos ataques baseados em navegador, os executáveis maliciosos distribuídos em espelhos de software russos serviam como mecanismos de entrega de um conjunto mais amplo de ferramentas, incluindo roubadores de credenciais, ransomware e várias variantes de Trojan. Esta abordagem diversificada garantiu múltiplos caminhos para comprometer sistemas-alvo e extrair dados sensíveis.

A campanha destaca uma vulnerabilidade crítica na cadeia de segurança: a confiança que os utilizadores depositam em extensões com aparência oficial e a facilidade relativa com que atores de ameaça podem explorar os mecanismos de atualização dos canais legítimos de distribuição de software.