Ļaunprogrammatūra pārlūkprogrammas paplašinājumos zog kriptovalūtu: kā pasargāt savu maku no pikšķerēšanas
Kiberdrošības eksperti atklājuši 77 ļaunprātīgus Firefox pārlūka paplašinājumus, kuru mērķis bija nozagt kriptovalūtu maku Seed Frāzes un paroles. Uzbrukumi sākās 2026. gada martā, un uzbrucēji izmantoja viltīgu paņēmienu, sākotnēji paplašinājumi izskatījās pēc nekaitīgiem sporta rezultātu izsekotājiem, bet vēlāk tika slepus atjaunināti un pārvērsti par rīkiem digitālo aktīvu zādzībai. Pētnieki norāda, ka šī shēma ļāvusi ļaundariem ilgstoši izvairīties no atklāšanas, jo lietotāji sākotnēji lejupielādēja šķietami noderīgas programmas.
No sporta rezultātu izsekotāja līdz kriptovalūtu zaglim
Kiberdrošības uzņēmuma Socket pētnieki atklāja savstarpēji saistītu paplašinājumu tīklu, ko viņi nodēvējuši par sava veida «maku zādzību rūpnīcu». No 77 apskatītajiem paplašinājumiem 40 bija tieši ļaunprogrammatūras, bet vēl 37 tika izmantoti kā maldinošas čaulas.
Uzbrucēji Mozilla paplašinājumu veikalā sākotnēji publicēja šķietami nekaitīgus rīkus, kas ļāva sekot futbola, basketbola un hokeja rezultātiem. Daži piedāvāja arī valūtu konvertēšanu vai ekrānuzņēmumu veidošanu.
Pēc tam, kad šie paplašinājumi bija ieguvuši lietotāju uzticību un izgājuši veikala pārbaudes, deviņi no sporta rezultātu izsekotājiem saņēma atjauninājumu, kas būtiski mainīja to darbību. Tie tika pārvērsti par rīkiem, kas spēj pārtvert lietotāju paroles un kriptovalūtu maku datus.
Uzbrukumu aktivitāte īpaši pieauga aprīlī un jūlija beigās. Mozilla jau ir sākusi bīstamo paplašinājumu dzēšanu, taču daži no tiem vēl augustā bija pieejami lejupielādei. Precīzs nozagto līdzekļu apjoms un cietušo lietotāju skaits pagaidām nav zināms.
Tika viltoti arī populāri kriptovalūtu maki
Uzbrucēji galvenokārt vērsās pret populāru Web3 produktu lietotājiem, tostarp OKX, Rabby Wallet un TronLink lietotājiem. Lai maldinātu cilvēkus, tika izmantoti vizuāli līdzīgi nosaukumi.
Piemēram, viens no paplašinājumiem tika nosaukts par «0KX WEB3», kur burta «O» vietā izmantota nulle. Šāda neliela atšķirība var viegli palikt nepamanīta lietotājam, kurš meklē sev pazīstamu maku.
Paplašinājuma iekšpusē nebija īstā maka koda, bet gan ļaunprogrammatūra ar pikšķerēšanas funkcijām. Tā varēja izskatīties pēc vienkārša lokāla piezīmju bloka, taču patiesībā bija paredzēta lietotāja sensitīvo datu iegūšanai.
Uzbrucēji izmantoja arī mākoņpakalpojumus un Cloudflare Workers skriptus, lai attālināti pārvaldītu saturu un nosūtītu nozagtos datus.
Paplašinājumi varēja:
* nokopēt Seed Frāzi un privātās atslēgas to ievadīšanas laikā;
* iegūt informāciju no starpliktuves;
* pārtvert atslēgu failus vēl pirms to šifrēšanas datorā.
Šādas pikšķerēšanas kampaņas neaprobežojas tikai uz datoriem. Iepriekš Google bija atklājis arī iOS paredzētu ļaunprogrammatūras komplektu, kas tika izmantots iPhone lietotāju datu zagšanai.
Ko darīt, ja esi izmantojis aizdomīgu Firefox paplašinājumu?
Svarīgi saprast, ka vienkārša ļaunprātīgā paplašinājuma izdzēšana nepasargās jau apdraudētu kriptovalūtu maku. Ja programma ir paspējusi iegūt Seed Frāzi vai privāto atslēgu, uzbrucējiem šie dati jau var būt pieejami.
Ja laika posmā no 2026. gada marta līdz augustam no Firefox instalēji aizdomīgus sporta rezultātu izsekotājus, neoficiālus kriptovalūtu maku paplašinājumus vai citas apšaubāmas programmas, ieteicams nekavējoties:
1. Dzēst visus aizdomīgos paplašinājumus no pārlūka.
2. Izveidot pilnīgi jaunu kriptovalūtu maku, vēlams tīrā ierīcē.
3. Ģenerēt jaunu Seed Frāzi un saglabāt to drošā vietā bezsaistē.
4. Pārvietot visus līdzekļus no potenciāli apdraudētā maka uz jauno adresi.
Ja Seed Frāze vai privātā atslēga ir nonākusi ļaunprogrammatūras rīcībā, šāds maks ir uzskatāms par kompromitētu arī pēc paplašinājuma izdzēšanas. Drošākais risinājums ir izveidot jaunu maku ar citu Seed Frāzi un pārvietot līdzekļus uz to.
