Entre de nouveaux outils IA, une nouvelle interface, l'accueil de Startpage, la prise en charge de NVIDIA GeForce NOW, Mozilla enchaine les annonces pour Firefox. Et en voilà une dont elle se passerait bien : l'entreprise de cybersécurité Socket a recensé 77 extensions malveillantes sur le Firefox Add-ons Store.
Parmi ces modules, quarante d'entre eux visent le vol d'identifiants ou de secrets de portefeuilles de cryptomonnaies, les 37 autres servent de camouflage sous forme de fausses applications de scores sportifs. Ces extensions sont actives depuis le mois de mars.
Une prise de contrôle à distance
Sept des extensions recensées présentent le même comportement : elle change à distance, une fois publiées sur le store. C'est par exemple le cas de l'add-on 0KX WEB3. Présentée sur sa fiche comme un portefeuille Web3, l'extension ne contient en réalité aucune fonction de gestion de cryptomonnaies. Elle embarque un bloc-notes local et une connexion à une base Supabase, service cloud légitime détourné de son usage habituel. À chaque ouverture, l'extension interroge cette base pour savoir quel contenu afficher. Tant qu'aucune adresse internet n'y figure, seul le bloc-notes apparaît ; dès qu'une adresse y est ajoutée, une page imitant un portefeuille s'ouvre et réclame la phrase de récupération de l'utilisateur. Le code soumis à Mozilla reste donc inoffensif. Le contenu frauduleux n'est ajouté qu'après coup, par simple modification d'une valeur sur le serveur.
D'autres modules n'ont pas besoin de cette manipulation à distance. Le code malveillant est intégré directement dans l'extension. Quinze d'entre elles reproduisent une procédure d'importation de portefeuille, authentique ou contrefaite, pour capter la phrase de récupération ou la clé privée saisie par la victime. Ensuite, ils l'envoient vers des serveurs Cloudflare Workers détournés. Treize autres n'ont recours à aucune interface trompeuse. Elles modifient le code du portefeuille Rabby pour intercepter son "keyring", le fichier de comptes du portefeuille, pendant son enregistrement normal, avant que la donnée ne soit chiffrée localement.
Cinq extensions supplémentaires agissent comme des infostealers plus génériques. Elles collectent des identifiants de connexion et le contenu du presse-papiers. Ces données sont découpées en fragments puis envoyées vers une adresse IP fixe. Cette méthode capture aussi bien des mots de passe que des adresses de portefeuille copiées-collées par l'utilisateur.
Pour les 37 extensions restantes, aucune fonction malveillante n'a été repérée lors de l'analyse par Mozilla. Elles se présentaient comme un générateur de mots de passe, un outil pour le mode sombre, un convertisseur de devises, ou un carnet de prise de notes. Au moins neuf d'entre elles ont affiché un comportement similaire en commençant par retourner des scores de football, de basketball, de NBA ou de hockey avant de se transformer en voleur de portefeuille crypto.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.