L'estensione che avete installato due anni fa non è quella che gira oggi

Le estensioni del browser si aggiornano da sole, in silenzio, senza chiedere niente. Questo singolo fatto è tutta la storia.

I ricercatori di Socket hanno pubblicato il 28 agosto le loro conclusioni su 19 estensioni, 18 per Chrome e una per Edge, raccolte in una campagna che chiamano "Superior" e le cui tracce risalgono a febbraio 2024. Quattordici sono state create dall'aggressore. Le altre cinque sono state comprate da chi le aveva scritte, ed è qui che vale la pena fermarsi: qualcuno crea un piccolo strumento utile, si stanca di mantenerlo, lo rivende, e l'acquirente pubblica un aggiornamento che fa tutt'altro. La più diffusa era "Enable Right Click and Copy", con circa 70.000 utenti su Chrome e altri 10.000 su Edge.

Le versioni aggiornate non nascondevano le proprie ambizioni. Svuotavano portafogli di criptovalute su più blockchain, mostravano finte pagine di recupero Ledger e Trezor per catturare le frasi di recupero, rubavano le sessioni aperte su borse come Coinbase, Binance e Kraken, intercettavano qualsiasi cosa digitata in un campo password o email su qualunque sito, esfiltravano la cronologia di navigazione e i token di sessione di Facebook e LinkedIn, e proponevano falsi avvisi di aggiornamento del browser che vi chiedono di incollare voi stessi un comando in Windows. Google ha rimosso la scheda su Chrome. Quando Socket ha pubblicato, la versione per Edge era ancora disponibile.

Quasi tutti si portano dietro estensioni che non usano da anni e a cui non pensano mai. L'esposizione è tutta lì, e ripulire richiede due minuti: aprite la pagina delle estensioni del browser e togliete tutto ciò che non sapete spiegare in una frase. Il controllo di sicurezza di Tendvane mostra le estensioni del browser accanto ai programmi che si avviano con il PC, ed è di solito il momento in cui si scopre cosa viaggiava di nascosto.