Socket ha individuato 19 estensioni malevole per Chrome ed Edge pubblicate negli ultimi sei mesi. La parte più grave non è l'arrivo di una nuova estensione, ma il fatto che alcuni operatori abbiano comprato estensioni già popolari e le abbiano poi trasformate in malware, ereditando così fiducia e base utenti.
Dopo un update apparentemente normale, il codice aggiunge un canale WebSocket verso il C2, rimuove controlli CSP e usa XSS per far eseguire payload già scaricati. Il risultato è il furto di wallet secret, il crypto draining e l'esfiltrazione di credenziali dentro pagine del browser che l'utente considera già affidabili.
Socket segnala anche casi con decine di migliaia di utenti prima della weaponization, incluso un'estensione passata da circa 70.000 utenti su Chrome e circa 10.000 su Edge. Per chi amministra browser in flotta, la revisione non può fermarsi alla prima installazione: una estensione legittima può diventare il canale di distribuzione per la sua stessa base utenti.