セキュリティ研究者のSocketは、暗号資産ウォレットのデータを盗むように設計された、悪質な挙動が確認されたFirefoxアドオン40件を特定した。このキャンペーンは少なくとも3月から8月まで続き、Mozillaの署名記録によると3月9日から8月3日までの間に59のバージョンが署名され、活動は4月と7月下旬に集中していた。リカバリーフレーズ、秘密鍵、ウォレットのキーリングが悪質なバージョンにさらされたユーザーは、ウォレットが侵害されたものとして扱わなければならない。アドオンをアンインストールしても、すでに送信された秘密情報を取り消すことはできない。
アドオンの仕組み
この40件の悪質なアドオンは、4つの異なる攻撃経路に分かれる。7件はリモート制御型のフィッシングローダーだった。15件はリカバリーフレーズ、秘密鍵、ウォレットの秘密情報を直接取得した。13件はRabbyウォレットの改変クローンで、暗号化前にシリアル化されたキーリングを外部に送信していた。そして5件は認証情報とクリップボードデータを収集した。どの経路も最終的には同じ結果に終わる。攻撃者がウォレットを空にするのに十分な情報を得るのだ。
スポーツスコアツールへの偽装
これらのアドオンの一部には二重の顔があった。9件は同じIDでスポーツスコアツールを配布していたことがあり、報告書ではさらに37件が、窃取ペイロードが確認されていない欺瞞的または不審なスポーツスコアの殻として挙げられている。これはもっともらしい偽装だ。ユーザーがスコアアプリをインストールし、後になって「ウォレット」のアップデートが現れるという流れだ。
ユーザーが取るべき行動
Socketのアドバイスは率直だ。アドオンをアンインストールしても問題は解決しない。影響を受けたユーザーは、残っている資産を新しいリカバリーフレーズから作成した新しい暗号資産ウォレットに移し、パスワードを変更し、アクティブなセッションを終了し、送金前にコピーした宛先アドレスを再確認する必要がある。脅威はウォレット自体に限定されない。アドオンに触れた認証情報やセッションはすべて疑わしい。
まだ明らかになっていないこと
Socketは窃取機能と外部送信インフラを文書化したが、確認された被害者、特定可能な取引、キャンペーン全体の損失額は特定していない。Mozillaは悪質なウォレットアドオンを検出するために自動リスク指標と人間によるレビューを使用していると述べ、ウォレットプロバイダーの公式サイトからリンクされた拡張機能のみをインストールするようアドバイスしている。これらの特定のアドオンがすでに削除されたのか、それともより広範な調査が進行中なのかは明らかにされていない。
今のところ、この夏にFirefoxのウォレット関連拡張機能を使用した人は、それを侵害されたものとして扱い、新しく始めるのが最も安全な対応だ。
