La fiducia non viene aggirata nel browser store, ma prima: l’installer scrive una finta estensione direttamente nei file di profilo di Chromium, così il controllo normale dell’estensione non scatta più. Il risultato è un clipper persistente che può vedere gli indirizzi copiati e sostituirli senza lasciare al browser il tempo di valutarli come non fidati.
McAfee descrive una campagna attiva, Silent Swap, distribuita con installer unsigned .NET e Golang che fanno installare una falsa estensione “Google Notes” su Chrome, Edge, Brave e Vivaldi. La stessa estensione forza il proprio inserimento nei profili, intercetta la clipboard, manipola gli indirizzi wallet e può anche proxyare il traffico del browser; gli aggiornamenti dei server di comando passano via blockchain con EtherHiding.
Per chi amministra ambienti Chromium-based, il punto non è solo la governance delle estensioni: il varco reale è l’esecuzione di software non firmato sugli endpoint e l’integrità dei file di profilo locali. Se questi controlli mancano, la compromissione resta anche senza abuso del store ufficiale.