Aktiviteten vurderes at have været i gang siden mindst marts 2026. Forskerne har ikke knyttet den til en kendt trusselsaktør eller gruppe.

Det gik udvidelserne efter

De skadelige tilføjelser udgav sig blandt andet for at være Web3-produkter som OKX, Rabby Wallet og TronLink. De målrettede:

• Gendannelsesfraser og private kryptonøgler
• Nøgleringe og andre serialiserede tegnebogsdata
• Loginoplysninger
• Indhold fra udklipsholderen, som kan indeholde kopierede tegnebogsadresser eller hemmelige oplysninger

En delkampagne med fokus på Rabby omfattede 13 efterligninger, der sendte serialiserede data fra tegnebogens nøglering videre, før Rabby nåede at kryptere dem lokalt. Dermed fik operatørerne adgang til oplysningerne på et tidspunkt, hvor den lokale kryptering endnu ikke beskyttede dem.

De 37 sportsresultat-udvidelser er ikke i den tilgængelige analyse bekræftet som tegnebogstyve. Forbindelsen til de skadelige udvidelser bygger i stedet på overlappende kode, infrastruktur, publiceringsmønstre og versionshistorik.

Fire klynger og fjernstyret svindel

Socket har samlet aktiviteten i fire skadelige klynger. Klyngerne delte tekniske og operationelle kendetegn, men brugte ikke nødvendigvis præcis samme udvidelsesdesign. Det gjorde det muligt at sprede kampagnen på tværs af flere tegnebogsmærker og udvidelsesidentiteter.

Infrastrukturen gjorde samtidig kampagnen lettere at ændre og sværere at undersøge:

• Cloudflare Workers blev i nogle klynger brugt som kanaler til at sende stjålne data videre.
• Supabase-hostet infrastruktur understøttede fjernstyret phishingindhold.
• Andre udvidelser benyttede fast indkodede kommando- og kontrolservere til at indsamle loginoplysninger og udklipsdata.

Det betød, at den skadelige funktionalitet ikke behøvede at være aktiv i alle offentliggjorte versioner. En fjernstyret phishing-side kunne slås til eller fra uden en ny opdatering af udvidelsen. På den måde blev risikoen mindre for, at en gennemgang af markedspladsen fangede den aktive adfærd.

Signerede udvidelser blev ændret til malware

Et centralt tegn på kampagnens forsøg på at undgå opdagelse var, at eksisterende udvidelser blev genbrugt. Mindst ni udvidelser begyndte som sportsresultat-apps og blev senere opdateret til tegnebogs-malware.

Metoden kan få en udvidelse til at virke mindre mistænkelig ved lanceringen. Den kan først opbygge en historik og brugernes tillid, hvorefter en senere version ændrer dens adfærd. I dette tilfælde kunne forskerne forbinde tilsyneladende separate udvidelser ved hjælp af Mozillas signaturregistre, overlappende identiteter, fælles kode og genbrugt infrastruktur.

Signaturregistrene viser også, at aktiviteten går tilbage til mindst marts 2026. Sammen med den fælles kode og infrastruktur understøtter registrene Socket’s vurdering af, at de 77 identiteter var del af en koordineret kampagne og ikke blot en række uafhængige skadelige indsendelser.

Hvad Firefox-brugere bør gøre

Hvis du har installeret en mistænkelig udvidelse eller indtastet følsomme oplysninger i den, bør du handle, som om oplysningerne er blevet lækket:

1. Fjern udvidelsen med det samme. Gennemgå alle installerede Firefox-tilføjelser – ikke kun den, der udløste din mistanke.
2. Flyt dine kryptomidler til en nyoprettet tegnebog med en ny gendannelsesfrase. Genbrug ikke en kompromitteret seed phrase eller privat nøgle.
3. Skift alle adgangskoder, du har indtastet i udvidelsen, begyndende med e-mail-, handels- og andre konti, der kan bruges til at få adgang til dine værdier. Aktivér multifaktorgodkendelse, og tilbagekald aktive sessioner eller API-nøgler, hvor det er muligt.
4. Overvåg tegnebøger og konti for uautoriseret aktivitet.
5. Anmeld udvidelsen til Mozilla og den legitime tegnebogstjeneste, som den udgav sig for at være.

En gendannelsesfrase, privat nøgle eller importeret tegnebogsnøglering bør ikke betragtes som sikker, blot fordi der endnu ikke er sket et synligt tyveri. Kampagnen var designet til at indsamle oplysninger, der senere kan give adgang til konti eller aktiver. Oprydningen bør derfor ske, før mistænkelig aktivitet bliver synlig.

Den bredere læring

Kampagnen viser, hvorfor en plads i en officiel markedsplads og en gyldig browsersignatur ikke i sig selv er nok til at skabe tillid. De sammenkædede tilføjelser kombinerede falsk Web3-branding, genbrugt kode, genanvendte signerede udvidelser, fjernstyrede phishingkontakter og fælles infrastruktur. Signalerne blev langt mere betydningsfulde, da de blev analyseret samlet i stedet for udvidelse for udvidelse.

Den tilgængelige dokumentation understøtter vurderingen af kampagnen med 77 udvidelser og adfærden, hvor Rabby-nøgleringe blev sendt videre før kryptering. Den indeholder dog ikke nok detaljer til pålideligt at knytte hver af de fire klynger til en bestemt udvidelsesfamilie eller identificere personerne bag operationen.

Aktiviteten vurderes at have været i gang siden mindst marts 2026. Forskerne har ikke knyttet den til en kendt trusselsaktør eller gruppe.

Det gik udvidelserne efter

De skadelige tilføjelser udgav sig blandt andet for at være Web3-produkter som OKX, Rabby Wallet og TronLink. De målrettede:

• Gendannelsesfraser og private kryptonøgler
• Nøgleringe og andre serialiserede tegnebogsdata
• Loginoplysninger
• Indhold fra udklipsholderen, som kan indeholde kopierede tegnebogsadresser eller hemmelige oplysninger

En delkampagne med fokus på Rabby omfattede 13 efterligninger, der sendte serialiserede data fra tegnebogens nøglering videre, før Rabby nåede at kryptere dem lokalt. Dermed fik operatørerne adgang til oplysningerne på et tidspunkt, hvor den lokale kryptering endnu ikke beskyttede dem.

De 37 sportsresultat-udvidelser er ikke i den tilgængelige analyse bekræftet som tegnebogstyve. Forbindelsen til de skadelige udvidelser bygger i stedet på overlappende kode, infrastruktur, publiceringsmønstre og versionshistorik.

Fire klynger og fjernstyret svindel

Socket har samlet aktiviteten i fire skadelige klynger. Klyngerne delte tekniske og operationelle kendetegn, men brugte ikke nødvendigvis præcis samme udvidelsesdesign. Det gjorde det muligt at sprede kampagnen på tværs af flere tegnebogsmærker og udvidelsesidentiteter.

Infrastrukturen gjorde samtidig kampagnen lettere at ændre og sværere at undersøge:

• Cloudflare Workers blev i nogle klynger brugt som kanaler til at sende stjålne data videre.
• Supabase-hostet infrastruktur understøttede fjernstyret phishingindhold.
• Andre udvidelser benyttede fast indkodede kommando- og kontrolservere til at indsamle loginoplysninger og udklipsdata.

Det betød, at den skadelige funktionalitet ikke behøvede at være aktiv i alle offentliggjorte versioner. En fjernstyret phishing-side kunne slås til eller fra uden en ny opdatering af udvidelsen. På den måde blev risikoen mindre for, at en gennemgang af markedspladsen fangede den aktive adfærd.

Signerede udvidelser blev ændret til malware

Et centralt tegn på kampagnens forsøg på at undgå opdagelse var, at eksisterende udvidelser blev genbrugt. Mindst ni udvidelser begyndte som sportsresultat-apps og blev senere opdateret til tegnebogs-malware.

Metoden kan få en udvidelse til at virke mindre mistænkelig ved lanceringen. Den kan først opbygge en historik og brugernes tillid, hvorefter en senere version ændrer dens adfærd. I dette tilfælde kunne forskerne forbinde tilsyneladende separate udvidelser ved hjælp af Mozillas signaturregistre, overlappende identiteter, fælles kode og genbrugt infrastruktur.

Signaturregistrene viser også, at aktiviteten går tilbage til mindst marts 2026. Sammen med den fælles kode og infrastruktur understøtter registrene Socket’s vurdering af, at de 77 identiteter var del af en koordineret kampagne og ikke blot en række uafhængige skadelige indsendelser.

Hvad Firefox-brugere bør gøre

Hvis du har installeret en mistænkelig udvidelse eller indtastet følsomme oplysninger i den, bør du handle, som om oplysningerne er blevet lækket:

1. Fjern udvidelsen med det samme. Gennemgå alle installerede Firefox-tilføjelser – ikke kun den, der udløste din mistanke.
2. Flyt dine kryptomidler til en nyoprettet tegnebog med en ny gendannelsesfrase. Genbrug ikke en kompromitteret seed phrase eller privat nøgle.
3. Skift alle adgangskoder, du har indtastet i udvidelsen, begyndende med e-mail-, handels- og andre konti, der kan bruges til at få adgang til dine værdier. Aktivér multifaktorgodkendelse, og tilbagekald aktive sessioner eller API-nøgler, hvor det er muligt.
4. Overvåg tegnebøger og konti for uautoriseret aktivitet.
5. Anmeld udvidelsen til Mozilla og den legitime tegnebogstjeneste, som den udgav sig for at være.

En gendannelsesfrase, privat nøgle eller importeret tegnebogsnøglering bør ikke betragtes som sikker, blot fordi der endnu ikke er sket et synligt tyveri. Kampagnen var designet til at indsamle oplysninger, der senere kan give adgang til konti eller aktiver. Oprydningen bør derfor ske, før mistænkelig aktivitet bliver synlig.

Den bredere læring

Kampagnen viser, hvorfor en plads i en officiel markedsplads og en gyldig browsersignatur ikke i sig selv er nok til at skabe tillid. De sammenkædede tilføjelser kombinerede falsk Web3-branding, genbrugt kode, genanvendte signerede udvidelser, fjernstyrede phishingkontakter og fælles infrastruktur. Signalerne blev langt mere betydningsfulde, da de blev analyseret samlet i stedet for udvidelse for udvidelse.

Den tilgængelige dokumentation understøtter vurderingen af kampagnen med 77 udvidelser og adfærden, hvor Rabby-nøgleringe blev sendt videre før kryptering. Den indeholder dog ikke nok detaljer til pålideligt at knytte hver af de fire klynger til en bestemt udvidelsesfamilie eller identificere personerne bag operationen.