Siber güvenlik araştırmacıları, kullanıcılar farkında olmadan işlem başlattığında cüzdan adreslerini gizlice değiştirerek kripto para çalan aktif bir tarayıcı uzantısı kampanyasını gündeme getirdi.
McAfee Labs, bu kripto para klipper faaliyetine Silent Swap kod adını verdi.
Siber güvenlik şirketi The Hacker News ile paylaştığı teknik raporda, "Kampanya, imzasız yükleyiciler (hem .NET hem de Golang varyantları gözlemlendi) aracılığıyla dağıtılıyor. Bu yükleyiciler, masum bir 'Google Notlar' aracı gibi görünen kötü amaçlı bir Chromium uzantısı yüklüyor" dedi.
BaseZipInstaller adı verilen imzasız .NET yükleyici, bir ZIP arşivi almak üzere tasarlanmış. Bu arşiv, sistemi Chromium tabanlı tarayıcılar için tarayarak kötü amaçlı tarayıcı uzantısının temelini oluşturuyor. Bu tarayıcılardaki tespit edilen her profil için tarayıcı işlemini zorla sonlandırıyor ve Secure Preferences ile Preferences dosyalarını değiştirerek uzantıyı enjekte ediyor.
Uzantının nihai amacı, panoya kopyalanan cüzdan adreslerini ele geçirip değiştirerek fonları saldırganın kontrolündeki bir cüzdana yönlendirebilen bir klipper görevi görmek. Sahte Google Notlar uzantısı, hedeflerine ulaşmak için kullanıcılardan panoya, tüm URL'lere ve tarama geçmişine erişim izni vermelerini istiyor.
Blok zincirindeki çoğu işlem geri alınamaz olduğundan, adres değişikliği kalıcı maddi kayba yol açabiliyor. McAfee Labs, bu faaliyetin daha önce bir kripto klipperi dağıtan CountLoader kampanyasıyla örtüştüğünü ve her iki kümenin de aynı tehdit aktörüne ait olduğuna dair kanıtlar bulunduğunu belirtti.
