Minacce · 91 giorni fa
La fiducia non viene aggirata nel browser store, ma prima: l’installer scrive una finta estensione direttamente nei file di profilo di Chromium, così il controllo normale dell’estensione non scatta più. Il risultato è un clipper persistente che può vedere gli indirizzi copiati e sostituirli senza lasciare al browser il tempo di valutarli come non fidati.
McAfee descrive una campagna attiva, Silent Swap, distribuita con installer unsigned .NET e Golang che fanno installare una falsa estensione “Google Notes” su Chrome, Edge, Brave e Vivaldi. La stessa estensione forza il proprio inserimento nei profili, intercetta la clipboard, manipola gli indirizzi wallet e può anche proxyare il traffico del browser; gli aggiornamenti dei server di comando passano via blockchain con EtherHiding.
Per chi amministra ambienti Chromium-based, il punto non è solo la governance delle estensioni: il varco reale è l’esecuzione di software non firmato sugli endpoint e l’integrità dei file di profilo locali. Se questi controlli mancano, la compromissione resta anche senza abuso del store ufficiale.
1 fonte che coprono questa storia
Silent Swap Crypto Clipper Uses Fake Google Notes Extension to Replace Wallet Addresses
McAfee says the campaign uses unsigned .NET and Golang installers, EtherHiding C2, and silent Chromium extension injection to swap wallet addresses.
Part of the PlainSec briefing for 2026-06-30