Le estensioni fidate diventano il canale d’attacco
Socket ha individuato 19 estensioni Chrome ed Edge malevole, attive da febbraio 2024, nella campagna Superior. Il dato che cambia la lettura è che 14 estensioni erano state create dall’attore e 5 acquistate da proprietari legittimi, per poi essere trasformate in malware tramite aggiornamenti successivi.
Il meccanismo sfrutta la fiducia già guadagnata dall’estensione. Una volta installata e accettata dagli utenti, la versione pulita viene sostituita da un update malevolo; Chrome lo distribuisce in modo automatico, senza nuovo download né clic. Così l’attaccante raggiunge chi aveva già approvato l’add-on, e può rubare credenziali o svuotare wallet passando per un canale che sembra normale.
Per chi gestisce allowlist o estensioni installate dagli utenti, il rischio non è solo bloccare nuove estensioni sospette. Resta aperta la possibilità che un add-on già presente cambi comportamento dopo il rilascio, quindi la superficie esposta comprende anche endpoint che sembrano usare software già fidato.
The findings raise questions over whether existing endpoint and network controls provide enough visibility into malicious activity happening inside the browser.
Multiple extensions for Google Chrome and Microsoft Edge delivered a malware framework that deployed modules to steal cryptocurrency, sensitive data, and browser history, as well as inject ClickFix lures.