Toiminnan arvioidaan alkaneen viimeistään maaliskuussa 2026. Tutkijat eivät ole yhdistäneet kampanjaa tunnettuun uhkatoimijaan tai ryhmään.

Mitä laajennukset varastivat?

Haitalliset lisäosat esiintyivät Web3-palveluina, kuten OKX:na, Rabby Walletina ja TronLinkinä. Niiden kohteena olivat muun muassa:

• kryptovaluuttojen palautuslauseet ja yksityiset avaimet
• lompakoiden avainrenkaat ja muu sarjamuotoinen lompakkodata
• käyttäjätilien kirjautumistiedot
• leikepöydän sisältö, joka voi sisältää esimerkiksi kopioituja lompakko-osoitteita tai salaisuuksia

Rabby Walletia jäljitelleeseen alaryhmään kuului 13 laajennusta, jotka lähettivät sarjamuotoisen lompakon avainrengasdatan eteenpäin ennen Rabby-sovelluksen normaalia paikallista salausta. Näin hyökkääjät pääsivät käsiksi tietoihin vaiheessa, jossa paikallinen salaus ei vielä suojannut niitä.

Saatavilla olevan analyysin perusteella 37 urheilutuloslaajennusta ei vahvistettu lompakoiden varastajiksi. Niiden yhteys haitallisiin lisäosiin perustui päällekkäiseen koodiin, infrastruktuuriin, julkaisukäytäntöihin ja versiohistoriaan.

Neljä haitallista kokonaisuutta ja etäohjattua sisältöä

Socket ryhmitteli toiminnan neljään haitalliseen klusteriin. Niillä oli yhteisiä teknisiä ja toiminnallisia tunnusmerkkejä, vaikka kaikki laajennukset eivät näyttäneet täysin samanlaisilta. Tämä auttoi operaattoreita levittämään kampanjaa useiden lompakkobrändien ja lisäosatunnusten kautta.

Laajennuksissa hyödynnettiin myös palveluja, jotka helpottivat toiminnan muuttamista ja vaikeuttivat tutkintaa:

• Cloudflare Workerseita käytettiin joissakin klustereissa varastettujen tietojen lähettämiseen eteenpäin.
• Supabaseen sijoitettu infrastruktuuri mahdollisti etähallittavan huijaussisällön käytön.
• Osa laajennuksista otti yhteyden kovakoodattuihin komento- ja hallintapalvelimiin, jotka keräsivät tunnuksia ja leikepöydän tietoja.

Tällainen rakenne tarkoitti, ettei haitallisen toiminnan tarvinnut olla pysyvästi näkyvissä jokaisessa julkaistussa versiossa. Etänä ohjattavan kalastelusivun saattoi kytkeä päälle tai pois ilman uuden laajennuspäivityksen lähettämistä. Se pienensi riskiä, että selainten lisäosakaupan tarkistus tai myöhempi tarkastelu osuisi juuri aktiiviseen haitalliseen toimintaan.

Alun perin viattomat lisäosat muutettiin haittaohjelmiksi

Yksi kampanjan keskeisistä väistötekniikoista oli versioiden uudelleenkäyttö. Ainakin yhdeksän laajennusta aloitti urheilutulossovelluksina, mutta ne päivitettiin myöhemmin lompakoita varastaviksi haittaohjelmiksi.

Menetelmä voi tehdä lisäosasta aluksi uskottavamman: se saa julkaisuhistoriaa ja voi kerryttää käyttäjien luottamusta ennen kuin myöhempi versio muuttaa sen toimintaa. Tässä tapauksessa Mozillan allekirjoitustiedot, toistuvat tunnisteet, yhteinen koodi ja jaettu infrastruktuuri auttoivat tutkijoita yhdistämään näennäisesti erilliset laajennukset laajempaan operaatioon.

Allekirjoitustiedot osoittavat toiminnan ulottuneen vähintään maaliskuuhun 2026. Yhdessä yhteisen koodin ja infrastruktuurin kanssa ne tukevat Socketin arviota siitä, että 77 tunnistetta muodostivat koordinoidun kampanjan eivätkä olleet toisistaan riippumattomia haitallisia julkaisuja.

Toimi näin, jos asensit epäilyttävän lisäosan

Jos olet asentanut epäilyttävän laajennuksen tai syöttänyt siihen arkaluonteisia tietoja, toimi kuin tiedot olisivat joutuneet vääriin käsiin:

1. Poista laajennus heti. Tarkista kaikki Firefoxiin asennetut lisäosat, ei vain sitä, joka herätti epäilyn.
2. Siirrä kryptovarat uuteen lompakkoon, jonka palautuslause on uusi. Älä käytä uudelleen paljastunutta siemenlausetta tai yksityistä avainta.
3. Vaihda laajennukseen syötetyt salasanat. Aloita sähköpostista, kryptopörsseistä ja muista tileistä, joiden avulla varoja voidaan palauttaa. Ota monivaiheinen tunnistautuminen käyttöön ja mitätöi aktiiviset istunnot tai API-avaimet, jos palvelu tarjoaa siihen mahdollisuuden.
4. Seuraa lompakoita ja käyttäjätilejä luvattoman toiminnan varalta.
5. Ilmoita laajennuksesta Mozillalle ja aidolle palvelulle, jota se jäljitteli.

Palautuslausetta, yksityistä avainta tai tuotua lompakon avainrengasta ei pidä pitää turvallisena vain siksi, ettei varkautta ole vielä havaittu. Kampanjan tarkoituksena oli kerätä tietoja, jotka voivat mahdollistaa tilien tai varojen käytön myöhemmin. Korjaavat toimet kannattaa tehdä ennen kuin epäilyttävä toiminta näkyy.

Mitä tapauksesta kannattaa oppia?

Laajennuksen löytyminen virallisesta kaupasta tai selaimen voimassa oleva allekirjoitus ei yksin takaa sen luotettavuutta. Tässä kampanjassa yhdistyivät tekaistu Web3-brändäys, uudelleenkäytetty koodi, allekirjoitettujen laajennusten muuttaminen, etänä hallitut kalastelusivut ja yhteinen infrastruktuuri. Yhdessä tarkasteltuina nämä merkit paljastivat yhteyksiä, joita yksittäisen laajennuksen tutkiminen ei välttämättä olisi osoittanut.

Saatavilla oleva näyttö tukee arviota 77 laajennuksen kampanjasta sekä Rabby-lompakoiden avainrengastietojen varastamisesta. Se ei kuitenkaan riitä yhdistämään jokaista neljästä klusterista luotettavasti tiettyyn laajennusperheeseen tai tunnistamaan operaation takana olevia henkilöitä.

Toiminnan arvioidaan alkaneen viimeistään maaliskuussa 2026. Tutkijat eivät ole yhdistäneet kampanjaa tunnettuun uhkatoimijaan tai ryhmään.

Mitä laajennukset varastivat?

Haitalliset lisäosat esiintyivät Web3-palveluina, kuten OKX:na, Rabby Walletina ja TronLinkinä. Niiden kohteena olivat muun muassa:

• kryptovaluuttojen palautuslauseet ja yksityiset avaimet
• lompakoiden avainrenkaat ja muu sarjamuotoinen lompakkodata
• käyttäjätilien kirjautumistiedot
• leikepöydän sisältö, joka voi sisältää esimerkiksi kopioituja lompakko-osoitteita tai salaisuuksia

Rabby Walletia jäljitelleeseen alaryhmään kuului 13 laajennusta, jotka lähettivät sarjamuotoisen lompakon avainrengasdatan eteenpäin ennen Rabby-sovelluksen normaalia paikallista salausta. Näin hyökkääjät pääsivät käsiksi tietoihin vaiheessa, jossa paikallinen salaus ei vielä suojannut niitä.

Saatavilla olevan analyysin perusteella 37 urheilutuloslaajennusta ei vahvistettu lompakoiden varastajiksi. Niiden yhteys haitallisiin lisäosiin perustui päällekkäiseen koodiin, infrastruktuuriin, julkaisukäytäntöihin ja versiohistoriaan.

Neljä haitallista kokonaisuutta ja etäohjattua sisältöä

Socket ryhmitteli toiminnan neljään haitalliseen klusteriin. Niillä oli yhteisiä teknisiä ja toiminnallisia tunnusmerkkejä, vaikka kaikki laajennukset eivät näyttäneet täysin samanlaisilta. Tämä auttoi operaattoreita levittämään kampanjaa useiden lompakkobrändien ja lisäosatunnusten kautta.

Laajennuksissa hyödynnettiin myös palveluja, jotka helpottivat toiminnan muuttamista ja vaikeuttivat tutkintaa:

• Cloudflare Workerseita käytettiin joissakin klustereissa varastettujen tietojen lähettämiseen eteenpäin.
• Supabaseen sijoitettu infrastruktuuri mahdollisti etähallittavan huijaussisällön käytön.
• Osa laajennuksista otti yhteyden kovakoodattuihin komento- ja hallintapalvelimiin, jotka keräsivät tunnuksia ja leikepöydän tietoja.

Tällainen rakenne tarkoitti, ettei haitallisen toiminnan tarvinnut olla pysyvästi näkyvissä jokaisessa julkaistussa versiossa. Etänä ohjattavan kalastelusivun saattoi kytkeä päälle tai pois ilman uuden laajennuspäivityksen lähettämistä. Se pienensi riskiä, että selainten lisäosakaupan tarkistus tai myöhempi tarkastelu osuisi juuri aktiiviseen haitalliseen toimintaan.

Alun perin viattomat lisäosat muutettiin haittaohjelmiksi

Yksi kampanjan keskeisistä väistötekniikoista oli versioiden uudelleenkäyttö. Ainakin yhdeksän laajennusta aloitti urheilutulossovelluksina, mutta ne päivitettiin myöhemmin lompakoita varastaviksi haittaohjelmiksi.

Menetelmä voi tehdä lisäosasta aluksi uskottavamman: se saa julkaisuhistoriaa ja voi kerryttää käyttäjien luottamusta ennen kuin myöhempi versio muuttaa sen toimintaa. Tässä tapauksessa Mozillan allekirjoitustiedot, toistuvat tunnisteet, yhteinen koodi ja jaettu infrastruktuuri auttoivat tutkijoita yhdistämään näennäisesti erilliset laajennukset laajempaan operaatioon.

Allekirjoitustiedot osoittavat toiminnan ulottuneen vähintään maaliskuuhun 2026. Yhdessä yhteisen koodin ja infrastruktuurin kanssa ne tukevat Socketin arviota siitä, että 77 tunnistetta muodostivat koordinoidun kampanjan eivätkä olleet toisistaan riippumattomia haitallisia julkaisuja.

Toimi näin, jos asensit epäilyttävän lisäosan

Jos olet asentanut epäilyttävän laajennuksen tai syöttänyt siihen arkaluonteisia tietoja, toimi kuin tiedot olisivat joutuneet vääriin käsiin:

1. Poista laajennus heti. Tarkista kaikki Firefoxiin asennetut lisäosat, ei vain sitä, joka herätti epäilyn.
2. Siirrä kryptovarat uuteen lompakkoon, jonka palautuslause on uusi. Älä käytä uudelleen paljastunutta siemenlausetta tai yksityistä avainta.
3. Vaihda laajennukseen syötetyt salasanat. Aloita sähköpostista, kryptopörsseistä ja muista tileistä, joiden avulla varoja voidaan palauttaa. Ota monivaiheinen tunnistautuminen käyttöön ja mitätöi aktiiviset istunnot tai API-avaimet, jos palvelu tarjoaa siihen mahdollisuuden.
4. Seuraa lompakoita ja käyttäjätilejä luvattoman toiminnan varalta.
5. Ilmoita laajennuksesta Mozillalle ja aidolle palvelulle, jota se jäljitteli.

Palautuslausetta, yksityistä avainta tai tuotua lompakon avainrengasta ei pidä pitää turvallisena vain siksi, ettei varkautta ole vielä havaittu. Kampanjan tarkoituksena oli kerätä tietoja, jotka voivat mahdollistaa tilien tai varojen käytön myöhemmin. Korjaavat toimet kannattaa tehdä ennen kuin epäilyttävä toiminta näkyy.

Mitä tapauksesta kannattaa oppia?

Laajennuksen löytyminen virallisesta kaupasta tai selaimen voimassa oleva allekirjoitus ei yksin takaa sen luotettavuutta. Tässä kampanjassa yhdistyivät tekaistu Web3-brändäys, uudelleenkäytetty koodi, allekirjoitettujen laajennusten muuttaminen, etänä hallitut kalastelusivut ja yhteinen infrastruktuuri. Yhdessä tarkasteltuina nämä merkit paljastivat yhteyksiä, joita yksittäisen laajennuksen tutkiminen ei välttämättä olisi osoittanut.

Saatavilla oleva näyttö tukee arviota 77 laajennuksen kampanjasta sekä Rabby-lompakoiden avainrengastietojen varastamisesta. Se ei kuitenkaan riitä yhdistämään jokaista neljästä klusterista luotettavasti tiettyyn laajennusperheeseen tai tunnistamaan operaation takana olevia henkilöitä.