Исследователи кибербезопасности из компании Socket вскрыли масштабную шпионскую сеть, замаскированную под полезные браузерные утилиты. В экосистемах Google Chrome и Microsoft Edge было обнаружено 16 расширений, которые тайно превращали устройства пользователей в инструменты для хищения криптовалюты и тотальной слежки. Самое коварное в этой схеме — метод проникновения. Как выяснили аналитики, большинство из этих плагинов изначально были кристально чистыми и не содержали вредоносного кода на момент публикации в официальных магазинах. Злоумышленники действовали по схеме «покупки и заражения»: они просто выкупали права на популярные расширения у их оригинальных создателей, а затем через штатные автоматические обновления внедряли туда «троянскую начинку». Эксперты полагают, что эта теневая кампания по скупке цифрового софта стартовала еще в 2024 году.
Одним из самых массовых «подставных» плагинов оказался Enable Right Click & Copy — Smart Unlock + OCR. К моменту заражения его аудитория только в Chrome превышала 70 000 человек, а в Edge — еще около 10 000. Архитектура самого взлома отличается высокой технологичностью. Внедрившись в браузер, вредонос устанавливает зашифрованный WebSocket-канал с командными серверами (C2), откуда в реальном времени подгружаются нужные JavaScript-модули. Чтобы обойти встроенную защиту, скрипт агрессивно удаляет заголовки Content Security Policy (CSP) на любых посещаемых страницах и инжектирует вредоносный код через невидимые HTML-элементы.
Арсенал похищенного впечатляет и бьет по самым болевым точкам криптанов. Хакеры научились виртуозно подменять интерфейсы: кнопки «Подключить кошелек» и «Обменять» на платформах для сетей EVM, Solana и Tron превращались в ловушки, а владельцы аппаратных сейфов Ledger и Trezor незаметно перенаправлялись на клоны официальных сайтов для слива сид-фраз. Под прямой удар попали сессии на топовых биржах, включая Binance, Coinbase, Bybit, Kraken, OKX, MEXC и KuCoin, а также в кошельке MetaMask.
