روش‌های سرقت اطلاعات حساس کیف پول‌های رمزارزی در فایرفاکس
از میان 40 افزونه شناسایی‌شده، 7 افزونه از پروژه‌های Supabase تحت کنترل مهاجمان به‌عنوان سوییچ‌های راه دور (Remote Switch) استفاده می‌کنند تا محتوای فیشینگ یا صفحات فریبنده را به‌صورت پویا ارائه دهند.
15 افزونه نیز عبارات بازیابی (Recovery Phrase)، کلیدهای خصوصی و سایر اطلاعات حساس کیف پول را جمع‌آوری کرده و از طریق کلودفلر ورکر (Cloudflare Workers) به زیرساخت مهاجمان منتقل می‌کنند.
در 13 افزونه مبتنی بر نسخه‌های دستکاری‌شده Rabby Wallet، مجموعه‌های کلید یا به عبارتی کی‌رینگ‌های سریال‌سازی‌شده (Serialized Keyrings) پیش از رمزنگاری لوکال استخراج شده و برای مهاجمان ارسال می‌شوند. 5 افزونه باقی‌مانده نیز اعتبارنامه‌ها و داده‌های کلیپ‌بورد را از طریق زیرساخت‌های هاردکدشده فرماندهی و کنترل (C2) جمع‌آوری می‌کنند.
در این میان، فایرفاکس به بستری برای توزیع افزونه‌هایی تبدیل شده است که روش‌های متفاوتی برای سرقت اطلاعات حساس کیف پول به کار می‌گیرند. اطلاعات حساس کیف پول به دو روش سرقت می‌شوند:
- بارگذاری راه دور صفحه جعلی کیف پول
- تعبیه قابلیت سرقت اطلاعات در خود افزونه
تغییر کاربری افزونه‌های فایرفاکس برای سرقت کیف پول رمزارزی
در برخی موارد، افزونه‌ها ابتدا با ظاهری عادی و در قالب ابزارهای نمایش نتایج ورزشی یا ابزارهای کاربردی در فروشگاه رسمی افزونه‌های فایرفاکس منتشر شده‌اند. در ادامه مهاجمان، همین افزونه‌ها را بدون تغییر شناسه فایرفاکس (Firefox ID) به بدافزارهایی برای سرقت اطلاعات کیف پول تبدیل کرده‌اند.
این روش به مهاجمان امکان می‌دهد بدون ایجاد شناسه جدید برای هر افزونه، قابلیت‌های مخرب را در نسخه‌های بعدی همان افزونه قرار دهند. به این ترتیب، افزونه‌ای که ابتدا با یک کارکرد ظاهراً عادی منتشر شده است، می‌تواند در نسخه‌های بعدی به ابزاری برای سرقت اطلاعات کیف پول تبدیل شود.
37 افزونه مرتبط با نمایش نتایج ورزشی، قابلیت‌های فریبنده‌ای با موضوع فوتبال، بسکتبال، لیگ NBA و هاکی دارند. همچنین این افزونه‌ها از یک اعتبارنامه هاردکدشده برای دسترسی به سرویس قانونی API-Sports استفاده می‌کنند. این سرویس داده‌های ورزشی را به‌صورت لحظه‌ای ارائه می‌دهد، اما افزونه‌های موردنظر در کنار قابلیت‌های مرتبط با ورزش، امکانات کاملاً متفاوتی مانند تولید رمز عبور، حالت دارک (Dark Mode)، دسترسی به VPN، تبدیل ارز، تهیه اسکرین‌شات و ثبت یادداشت را نیز در اختیار کاربران قرار می‌دهند.
Socket اعلام کرده است که 9 مورد از افزونه‌های تأییدشده به عنوان مخرب، در نسخه‌های قدیمی خود با ظاهر ابزارهای نمایش نتایج فوتبال، بسکتبال، NBA و فوتبال آمریکایی فعالیت می‌کردند. در نسخه‌های بعدی، مهاجمان همین افزونه‌ها را با حفظ شناسه قبلی، به ابزارهایی برای سرقت اطلاعات کیف پول تبدیل کردند.
در مقابل، 31 افزونه مخرب تأییدشده دیگر از API ورزشی استفاده نمی‌کنند، اما قابلیت‌های مخربی برای سرقت اطلاعات کیف پول یا اعتبارنامه‌ها دارند.
افزونه‌های مخرب شناسایی‌شده و شناسه آن‌ها
برخی از افزونه‌های مخرب شناسایی‌شده در این عملیات عبارتند از:
- Safe-Themes – Browser Extension: bliss-heaven@webbrol.com
- Rabbit For Desktop: bright-save-feed@tabtools.org
- ℞ab␢y Wa❘Iet: flex-clock-dash@extrakits.com
- Rabb-Walӏet CryptoPortfolio: free-note-bolt@webtools.co
- RABB-Walӏet Web3 & EVM: safe-stat-pure@proaddons.net
- Rabbit/WALLET – EVM: sharp-stat-gear@netplugs.net
انتشار گسترده و کم‌هزینه افزونه‌های مخرب
به گفته پژوهشگران، تنها نصب یکی از این افزونه‌های مخرب می‌تواند عبارت بازیابی، کلید خصوصی یا وضعیت کیف پول قربانی را در اختیار مهاجمان قرار دهد؛ اطلاعاتی که ممکن است ارزش آن‌ها بسیار بیشتر از هزینه انتشار مکرر افزونه‌های موقتی باشد. این هزینه پایین، یکی از دلایل تداوم فعالیت مهاجمان و هدف‌گیری اکوسیستم افزونه‌های فایرفاکس است؛ حتی اگر هر افزونه تنها برای مدت محدودی فعال باشد و در نهایت حذف شود. مهاجمان با تغییر نام و شناسه‌ها، استفاده مجدد از هویت افزونه‌های موجود، کلون کردن کد (Code Cloning) و توزیع قابلیت‌های مخرب میان افزونه‌ها، صفحات راه دور و زیرساخت‌های ابری، می‌توانند نمونه‌های جدید را با هزینه‌ای اندک و به‌صورت گسترده منتشر کنند.
این رویکرد باعث می‌شود حذف یک افزونه مانع ادامه فعالیت مهاجمان نشود؛ زیرا آن‌ها می‌توانند با انتشار نسخه‌های جدید یا استفاده از شناسه‌های متفاوت، عملیات خود را ادامه دهند.
