Как расширения браузера GreedyBear, использующие вредоносные методы, скомпрометировали более $1M в криптовладениях

Изысканная операция киберпреступников была раскрыта исследователями Koi Security, выявив масштабную кампанию, организованную российской группой угроз GreedyBear. За пятинедельный период, завершившийся в августе, злоумышленники успешно вывели более $1 миллионов в криптовалюте с помощью многоуровневой инфраструктуры атак.

Арсенал: 150 расширений для браузеров и 500+ вредоносных файлов

Масштаб этой операции был ошеломляющим. GreedyBear развернули 150 вооружённых расширений для Firefox, распространённых на десятках обманных сайтов, имитирующих легитимные платформы. Параллельно хакеры похитили токены из инфраструктуры поддержки, используя почти 500 вредоносных исполняемых файлов Windows, загруженных в российские репозитории программного обеспечения, где хранятся пиратские и переупакованные приложения. По словам Идана Дардикмана, технического директора Koi Security, атака на базе Firefox оказалась наиболее прибыльной, принёсшей большую часть $1 миллионов.

Техника подделки кошельков

Основной механизм заключался в создании поддельных версий популярных криптовалютных кошельков. Хакеры нацелились на MetaMask, Exodus, Rabby Wallet и TronLink — одни из самых широко используемых решений для самостоятельного хранения в криптоэкосистеме.

Злоумышленники использовали сложную технику под названием Extension Hollowing для обхода проверок безопасности маркетплейсов. Процесс проходил поэтапно: сначала они отправляли в официальный магазин легитимную версию расширения, проходя первоначальную проверку. После одобрения приложение получало постепенные обновления с вредоносным кодом, который оставался незамеченным автоматическими системами. Для повышения доверия злоумышленники создавали положительные отзывы пользователей, создавая иллюзию надёжности и стимулируя загрузки.

Кража учетных данных и не только

После установки жертвами скомпрометированных расширений вредоносное ПО сразу начинало собирать учетные данные кошельков и приватные ключи. Эти украденные данные становились ключами к богатству — злоумышленники использовали их для вывода криптовалютных средств с скомпрометированных кошельков.

Помимо атак через браузер, вредоносные исполняемые файлы, распространяемые через российские зеркала программного обеспечения, служили средствами доставки более широкого набора инструментов, включая кражу учетных данных, вымогательское ПО и различные варианты троянов. Такой диверсифицированный подход обеспечивал несколько путей для компрометации целевых систем и извлечения конфиденциальных данных.

Кампания подчёркивает критическую уязвимость в цепочке безопасности: доверие пользователей к официально выглядящим расширениям и относительная лёгкость, с которой злоумышленники могут эксплуатировать механизмы обновлений легитимных каналов распространения программного обеспечения.