GreedyBear: Gefährliche Firefox-Erweiterungen stehlen Kryptowährungen

LONDON (IT BOLTWISE) – Eine neue Bedrohung namens GreedyBear hat über 150 bösartige Erweiterungen im Firefox-Marktplatz platziert, um Kryptowährungen im Wert von über 1 Million US-Dollar zu stehlen.

Die Bedrohung durch GreedyBear zeigt, wie Cyberkriminelle immer raffiniertere Methoden entwickeln, um digitale Vermögenswerte zu stehlen. Diese Kampagne nutzt über 150 bösartige Erweiterungen im Firefox-Marktplatz, die sich als beliebte Kryptowährungs-Wallets tarnen. Zu den betroffenen Wallets gehören MetaMask, TronLink, Exodus und Rabby Wallet. Die Angreifer verwenden eine Technik namens Extension Hollowing, um Sicherheitsvorkehrungen von Mozilla zu umgehen und das Vertrauen der Nutzer auszunutzen.

Der Angriff beginnt mit der Erstellung eines Publisher-Kontos im Firefox-Marktplatz. Zunächst werden harmlose Erweiterungen hochgeladen, die keine tatsächliche Funktionalität besitzen, um die anfänglichen Überprüfungen zu umgehen. Anschließend werden gefälschte positive Bewertungen gepostet, um eine Illusion von Glaubwürdigkeit zu schaffen. Sobald die Erweiterungen als vertrauenswürdig gelten, werden sie mit bösartigen Funktionen ausgestattet, um Wallet-Anmeldedaten zu erfassen und an einen von Angreifern kontrollierten Server zu senden.

Diese Kampagne ist eine Erweiterung einer früheren Iteration namens Foxy Wallet, bei der die Angreifer mindestens 40 bösartige Browsererweiterungen für Mozilla Firefox veröffentlichten. Die aktuelle Zunahme der Anzahl der Erweiterungen zeigt das wachsende Ausmaß der Operation. Neben den gefälschten Wallet-Erweiterungen verbreiten die Angreifer auch bösartige ausführbare Dateien über russische Websites, die geknackte und raubkopierte Software anbieten, was zur Verbreitung von Informationsdieben und sogar Ransomware führt.

Ein weiteres Element der GreedyBear-Kampagne sind betrügerische Websites, die sich als Kryptowährungsprodukte und -dienstleistungen ausgeben, um Benutzer dazu zu verleiten, ihre Wallet-Anmeldedaten oder Zahlungsdetails preiszugeben. Koi Security konnte die drei Angriffsvektoren einem einzigen Bedrohungsakteur zuordnen, da alle in diesen Bemühungen verwendeten Domains auf eine einzige IP-Adresse verweisen: 185.208.156[.]66, die als Command-and-Control-Server für die Datenerfassung und -verwaltung dient.

Es gibt Hinweise darauf, dass die Angriffe auf Erweiterungen auch auf andere Browser-Marktplätze ausgeweitet werden. Dies basiert auf der Entdeckung einer Google Chrome-Erweiterung namens Filecoin Wallet, die denselben Command-and-Control-Server und die zugrunde liegende Logik verwendet, um Anmeldedaten zu stehlen. Die Analyse der Artefakte hat Anzeichen dafür ergeben, dass sie möglicherweise mit KI-gestützten Tools erstellt wurden, was unterstreicht, wie Bedrohungsakteure zunehmend KI-Systeme missbrauchen, um Angriffe in großem Maßstab und mit hoher Geschwindigkeit durchzuführen.

Die Offenlegung dieser Bedrohung erfolgt zeitgleich mit der Warnung von SentinelOne vor einem weit verbreiteten Kryptowährungsbetrug, der einen bösartigen Smart Contract als Handelsbot tarnt, um Benutzer-Wallets zu leeren. Diese betrügerische Ethereum-Drainer-Schema, das seit Anfang 2024 aktiv ist, hat den Bedrohungsakteuren bereits mehr als 900.000 US-Dollar an gestohlenen Gewinnen eingebracht.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!