Investigadores detectaron 19 extensiones maliciosas de Chrome y Edge diseñadas para robar criptomonedas y datos sensibles. Los atacantes adquieren extensiones legítimas o crean versiones limpias y, tras ganar usuarios, lanzan actualizaciones con malware. Esta campaña, activa desde febrero de 2024, utiliza servidores de control para exfiltrar información y engañar a miles de víctimas.

Investigadores de ciberseguridad han descubierto un grupo de 18 extensiones de Google Chrome y una de Microsoft Edge que fueron publicadas en los últimos seis meses y que albergaban capacidades para robar secretos de billeteras y vaciar criptomonedas.

Las extensiones aquí, según el investigador de seguridad de Socket Karlo Zanki, comparten similitudes en el código y la técnica, con evidencia que indica que la campaña puede haber estado activa desde febrero de 2024. Socket está rastreando la actividad bajo el nombre Superior.

El modus operandi es relativamente sencillo: el actor de la amenaza ya sea adquiere extensiones legítimas con una funcionalidad adecuada o lanza una versión limpia que no contiene ningún malware. Una vez que las extensiones comienzan a acumular descargas de usuarios, se publica una nueva versión con el comportamiento malicioso.

De las extensiones identificadas, 14 fueron creadas por el actor de la amenaza, mientras que las cinco restantes fueron compradas a sus propietarios anteriores. La lista completa de extensiones está a continuación:

* Extensiones compradas por el actor de la amenaza
* koccklolohdacbfooifnpebakpbeipc - Enable Right Click & Copy — Smart Unlock + OCR
* fegckejpfnlmfgkfjpinlbgmeeijjkel - RapidLens - Google Lens for Screen Search & Images
* kdenlnncndfnhkognokgfpabgkgehodd - QuickLens - Search Screen with Google Lens
* jamminefolhgepgihbmcjjhgldbfcikp - Password Protect PDF
* inmkjedjdhgpknjogbjomhnbgdccckkg - Allow Copy - Select & Enable Right Click (Microsoft Edge)

* Extensiones creadas y publicadas por el actor de la amenaza -
* fcgdejjichpgfaaafflplhfijcnieopb - PixelCheck
* cfpnjdbpojpcongfaefcamjbaolpelcd - Creative Library - Ad Spy Tool
* aapdalkmclfaahehnmicbglkohkldhne - Website Traffic Checker: MirrorSphere SEO Stats
* dkdadldmiefjldmegbjbnhhfddnkhlhm - Site Signal - Website Traffic & SEO Checker
* fjmlhlkccegopebcllcmafahkmeejpph - SEO Pulse Pro - Website Traffic & SEO Analyzer
* iekoapohahgmogbagegmcgplbkikcgke - Private Crypto News Reader
* ahpnnnjbnfbhoikhohglpohnoocjcoco - Blockfolio: Address Monitor
* oeacadlaclegkkkdehjmiifnjhcekclj - Crypto Rates & Fiat Converter
* jmlgannjlbliikgcaieomgmcnfplglea - Crypto Alerter: Price Alarms & Volatility Warnings
* lhmcajhgadanidbopgaoobjlldegjmke - DeFi Pulse Tracker
* gfackggoapepdmnjnkblogdcjpgcjiak - Crypto Price Badge: Quick Glance
* hfijkbdkpidafdbeebnnkhfccildbcle - Multi-Chain Explorer
* cngchfbfgejllcbhmeadjhiebebiome - LedgerLook: Wallet Checker
* aodkjdeghbjiaienipfjkbpcikkacbcp - Meta & Facebook Ad Library Spy — Save Ads, Finder, Downloader | FeedX-Ray

Vale la pena destacar que "QuickLens - Search Screen with Google Lens" fue señalada previamente por Annex Security y monxresearch-sec a principios de este año, detallando su capacidad para enviar malware a los clientes, inyectar código arbitrario y recolectar datos sensibles.



Los últimos hallazgos de Socket sugieren que la actividad es más amplia de lo que se pensaba y ha estado en curso desde febrero de 2024. Algunos aspectos de esta campaña fueron documentados por DomainTools Investigations en mayo de 2025.

En aquel momento, se observó que el actor de la amenaza creaba sitios web falsos haciéndose pasar por servicios legítimos, herramientas de productividad, asistentes de análisis o creación de medios y anuncios, servicios de VPN, o utilidades bancarias y de criptomonedas para engañar a los usuarios y que instalaran extensiones maliciosas desde la Chrome Web Store.

"Las extensiones suelen tener una funcionalidad dual, en la que generalmente parecen funcionar según lo previsto, pero también se conectan a servidores maliciosos para enviar datos del usuario, recibir comandos y ejecutar código arbitrario", afirmó DomainTools Investigations aquí.

La extensión con el mayor impacto potencial es "Enable Right Click & Copy — Smart Unlock + OCR", que tiene una base colectiva de 80,000 usuarios en los navegadores Chrome y Edge. Cada una de las extensiones también permite establecer contacto con un servidor de comando y control (C2) y configurar una conexión WebSocket persistente.

"Cabe señalar que el marco de carga admite la rotación del endpoint C2 basándose en las instrucciones recibidas del servidor C2 inicial, y este comportamiento se ha observado en el mundo real", explicó Zanki.

"Esa funcionalidad permite a los actores de amenazas distribuir a las víctimas en diferentes grupos e infraestructura C2 dedicada y reducir el riesgo de detección. El endpoint de exfiltración de datos también se recibe dinámicamente desde las instrucciones del C2, permitiendo un canal de exfiltración por cada víctima".

Como se observó en el caso de QuickLens, el código malicioso incrustado en las extensiones elimina los encabezados de Política de Seguridad de Contenido (CSP) de cada página y facilita la inyección de módulos de código JavaScript en sitios web seleccionados utilizando scripts de contenido. Se han identificado un total de 16 módulos que abarcan las siguientes categorías:

* Vaciador de billeteras multi-cadena
* Recolector de frases semilla de billeteras de hardware
* Recolector de cuentas de billeteras y exchanges de criptomonedas
* Capturador universal de formularios o credenciales
* Ladrones de cuentas de Facebook y LinkedIn
* Ladrón de historial del navegador
* Señuelo al estilo ClickFix

El módulo ClickFix inyecta una actualización falsa del navegador web y emplea instrucciones específicas del sistema operativo para lograr que copies y pegues el comando malicioso.

Aún se desconoce quién está detrás de la campaña. Pero el hecho de que hayan estado operando con éxito durante más de dos años apunta a un "actor de amenazas muy capaz".

"El mayor riesgo para los usuarios finales es la técnica operativa en la que el actor de la amenaza adquiere con éxito extensiones legítimas y lanza nuevas versiones potenciadas con funcionalidad maliciosa", dijo Zanki. "Ese enfoque, combinado con la configuración de actualización predeterminada de Chrome, realiza la actualización automática a la última versión de la extensión, proporcionando al atacante un vector poderoso para maximizar el impacto y el alcance de la adquisición de la extensión".

Fuente:
THN