Як розширення браузера з озброєною атакою GreedyBear скомпрометували понад $1M у криптовалютних активів

Витончену операцію кіберзлочинців розкрили дослідники Koi Security, що виявили масштабну кампанію, організовану російською групою загроз GreedyBear. За п’ять тижнів, що закінчилися у серпні, зловмисники успішно вивели понад $1 мільйонів у криптовалюті через багаторівневу інфраструктуру атак.

Арсенал: 150 розширень для браузерів та понад 500 шкідливих файлів

Масштаб цієї операції був вражаючим. GreedyBear розгорнули 150 озброєних розширень для Firefox, поширених через десятки підробних сайтів, створених для імітації легітимних платформ. Паралельно хакери викрали токени з інфраструктури підтримки, використовуючи майже 500 шкідливих виконуваних файлів для Windows, завантажених у російські репозиторії програмного забезпечення, що містять піратські та перепаковані додатки. За словами Ідана Дардікмана, технічного директора Koi Security, атака через Firefox виявилася найприбутковішою, принісши більшість з $1 мільйонів здобичі.

Техніка підміни гаманця

Основний механізм полягав у створенні підробних версій популярних криптовалютних гаманців. Зловмисники націлилися на MetaMask, Exodus, Rabby Wallet та TronLink — серед найпопулярніших рішень для самостійного зберігання у криптоекосистемі.

Злочинці застосували складну техніку під назвою Extension Hollowing, щоб обійти перевірки безпеки маркетплейсів. Процес відбувався поетапно: спочатку вони подавали легітимну версію розширення до офіційного магазину, проходячи первинну перевірку. Після затвердження додаток отримував поступові оновлення з шкідливим кодом, який залишався непоміченим автоматичними системами. Щоб підвищити довіру, зловмисники створювали позитивні відгуки користувачів, створюючи ілюзію надійності, що сприяло завантаженню.

Крадіжка облікових даних та інше

Після встановлення жертвою скомпрометованих розширень, шкідливе програмне забезпечення одразу починало збирати облікові дані гаманців та приватні ключі. Вкрадені дані ставали ключами до королівства — зловмисники використовували їх для виведення криптовалютних активів із скомпрометованих гаманців.

Крім браузерних атак, поширені виконувані файли, розповсюджені через російські дзеркала програмного забезпечення, слугували засобами доставки ширшого набору інструментів, включаючи крадіжки облікових даних, викупне програмне забезпечення та різні варіанти троянських програм. Такий диверсифікований підхід забезпечував кілька шляхів до компрометації цільових систем і витягання конфіденційних даних.

Кампанія підкреслює критичну вразливість у ланцюгу безпеки: довіру користувачів до офіційних розширень і відносну легкість, з якою зловмисники можуть експлуатувати механізми оновлення легітимних каналів розповсюдження програмного забезпечення.