Cách các tiện ích mở rộng trình duyệt có vũ khí của GreedyBear xâm phạm hơn $1M trong khoản nắm giữ tiền điện tử

Một hoạt động tội phạm mạng tinh vi đã được các nhà nghiên cứu của Koi Security phơi bày, tiết lộ một chiến dịch quy mô lớn do nhóm đe dọa Nga GreedyBear tổ chức. Trong vòng năm tuần kết thúc vào tháng 8, các hacker đã thành công rút hơn $1 triệu đô la tiền điện tử thông qua một hạ tầng tấn công nhiều lớp.

Vũ khí: 150 Tiện ích mở rộng trình duyệt và hơn 500 Tệp độc hại

Quy mô của hoạt động này thật đáng kinh ngạc. GreedyBear đã triển khai 150 tiện ích mở rộng Firefox chứa mã độc, phân phối qua hàng chục trang web lừa đảo được thiết kế để bắt chước các nền tảng hợp pháp. Song song đó, các hacker đã đánh cắp token từ hạ tầng hỗ trợ bằng cách lợi dụng gần 500 tệp thực thi Windows độc hại được tải lên các kho phần mềm của Nga, nơi lưu trữ các ứng dụng bị bẻ khóa và đóng gói lại. Theo ông Idan Dardikman, Giám đốc công nghệ của Koi Security, cuộc tấn công dựa trên Firefox đã chứng minh là phương thức sinh lợi nhất, mang lại phần lớn số tiền $1 triệu đô la.

Kỹ thuật giả mạo Ví tiền

Cơ chế chính liên quan đến việc tạo ra các phiên bản giả mạo của các ví tiền điện tử phổ biến. Các hacker nhắm vào MetaMask, Exodus, Rabby Wallet và TronLink—một số trong những giải pháp tự quản lý phổ biến nhất trong hệ sinh thái crypto.

Các hacker đã sử dụng kỹ thuật tinh vi gọi là Extension Hollowing để vượt qua các đánh giá bảo mật của thị trường. Quá trình này diễn ra theo các giai đoạn: đầu tiên, họ gửi một phiên bản hợp pháp của tiện ích mở rộng đến cửa hàng chính thức, qua vòng kiểm duyệt ban đầu. Sau khi được chấp thuận, ứng dụng nhận các bản cập nhật gia tăng chứa mã độc mà hệ thống tự động không phát hiện được. Để tăng độ tin cậy, các đối tượng đe dọa đã tạo ra các đánh giá tích cực của người dùng, tạo ảo giác về độ tin cậy để khuyến khích tải xuống.

Trộm Credential và các hoạt động khác

Khi người dùng không đề phòng cài đặt các tiện ích mở rộng bị xâm phạm, phần mềm độc hại ngay lập tức bắt đầu thu thập thông tin đăng nhập ví và khoá riêng tư. Những thông tin truy cập bị đánh cắp này trở thành chìa khoá của vương quốc—những kẻ tấn công sau đó dùng chúng để rút tiền điện tử khỏi các ví bị xâm phạm.

Ngoài các cuộc tấn công dựa trên trình duyệt, các tệp thực thi độc hại phân phối trên các bản sao phần mềm của Nga còn đóng vai trò là phương tiện phân phối bộ công cụ rộng hơn, bao gồm các phần mềm trộm credential, ransomware và các biến thể Trojan khác nhau. Cách tiếp cận đa dạng này đảm bảo nhiều con đường để xâm nhập hệ thống mục tiêu và trích xuất dữ liệu nhạy cảm.

Chiến dịch này nhấn mạnh một điểm yếu nghiêm trọng trong chuỗi bảo mật: sự tin tưởng của người dùng vào các tiện ích mở rộng trông có vẻ hợp pháp và mức độ dễ dàng mà các đối tượng đe dọa có thể khai thác các cơ chế cập nhật của các kênh phân phối phần mềm chính thống.