L’opération serait active depuis au moins mars 2026. À ce stade, elle n’a pas été attribuée à un groupe ou à un acteur de la menace connu.

Les données recherchées par les extensions

Les extensions malveillantes imitaient des produits Web3, notamment OKX, Rabby Wallet et TronLink. Elles visaient plusieurs catégories de données sensibles :

• les phrases de récupération et les clés privées ;
• les porte-clés de portefeuille et autres données sérialisées ;
• les identifiants de compte ;
• le contenu du presse-papiers, qui peut contenir une adresse de portefeuille copiée ou un secret.

Un sous-ensemble de 13 extensions imitant Rabby Wallet exfiltrait les données sérialisées du porte-clés avant leur chiffrement local habituel par Rabby. Les opérateurs pouvaient ainsi récupérer ces informations à un moment où le chiffrement ne les protégeait pas encore.

Les 37 extensions liées aux scores sportifs n’ont pas été confirmées comme des voleurs de portefeuilles dans les analyses disponibles. Leur rapprochement avec les modules malveillants repose sur des recoupements de code, d’infrastructures, de pratiques de publication et d’historiques de versions.

Une campagne répartie en quatre groupes

Socket a réparti l’activité malveillante en quatre clusters. Ces groupes partageaient des indicateurs techniques et opérationnels, sans nécessairement utiliser une interface ou une structure d’extension identique. Cette organisation permettait de disperser la campagne entre plusieurs marques de portefeuilles et de nombreuses identités dans le catalogue Firefox.

Les extensions employaient également plusieurs services pour modifier plus facilement leur comportement et compliquer leur analyse :

• dans certains clusters, des Cloudflare Workers servaient de canaux d’exfiltration pour les données volées ;
• une infrastructure hébergée sur Supabase permettait de contrôler à distance du contenu de hameçonnage ;
• d’autres modules communiquaient avec des serveurs de commande et de contrôle codés en dur afin de collecter des identifiants et des données du presse-papiers.

Avec ce dispositif, le comportement malveillant n’avait pas besoin d’être activé en permanence dans chaque version publiée. Une page de hameçonnage contrôlée à distance pouvait être activée ou désactivée sans soumettre de nouvelle mise à jour de l’extension. Cela réduisait le risque qu’un contrôle ou qu’une analyse ponctuelle observe la charge active.

Des extensions signées transformées après leur publication

L’un des signaux d’évasion les plus importants concerne le détournement de l’historique des versions. Au moins neuf extensions avaient d’abord été publiées comme des applications de scores sportifs, avant d’être transformées en logiciels malveillants ciblant des portefeuilles.

Cette méthode peut rendre un module moins suspect lors de sa première publication : il peut d’abord se constituer un historique et inspirer confiance, puis modifier son comportement dans une version ultérieure. Dans cette campagne, les enregistrements de signature de Mozilla, les identités qui se recoupaient, le code commun et les infrastructures partagées ont aidé les chercheurs à relier des extensions apparemment distinctes à une même opération.

Les données de signature indiquent également que l’activité remontait au moins à mars 2026. Associées aux similitudes de code et d’infrastructure, elles confortent l’évaluation de Socket selon laquelle les 77 identités relevaient d’une campagne coordonnée, et non de soumissions malveillantes isolées.

Que faire si vous avez installé l’une de ces extensions ?

Si vous avez installé une extension suspecte ou y avez saisi des informations sensibles, agissez comme si ces données avaient été exposées :

1. Supprimez immédiatement l’extension. Vérifiez l’ensemble des modules complémentaires installés dans Firefox, et pas uniquement celui qui a déclenché l’alerte.
2. Transférez vos actifs numériques vers un portefeuille nouvellement créé, avec une nouvelle phrase de récupération. Ne réutilisez pas une phrase secrète ou une clé privée exposée.
3. Changez les mots de passe saisis dans l’extension, en commençant par ceux de votre messagerie, de vos plateformes d’échange et des comptes susceptibles de permettre une récupération d’actifs. Activez l’authentification multifacteur et révoquez, lorsque c’est possible, les sessions actives et les clés d’API.
4. Surveillez vos portefeuilles et vos comptes afin de détecter toute activité non autorisée.
5. Signalez l’extension à Mozilla ainsi qu’au fournisseur du portefeuille légitime qu’elle imitait.

Une phrase de récupération, une clé privée ou un porte-clés importé ne doit pas être considéré comme sûr simplement parce qu’aucun vol n’a encore été constaté. La campagne cherchait précisément à collecter des données susceptibles de permettre un accès ultérieur à des comptes ou à des actifs. Il vaut donc mieux prendre des mesures correctives avant l’apparition d’une activité suspecte.

La leçon à retenir

La présence d’une extension dans une place de marché officielle et l’existence d’une signature valide ne suffisent pas à établir sa fiabilité. Les modules liés à cette campagne combinaient une fausse image de marque Web3, du code réutilisé, des extensions signées reconverties, des mécanismes de hameçonnage à distance et une infrastructure partagée. Ces indices se sont révélés particulièrement probants une fois analysés ensemble, plutôt qu’extension par extension.

Les éléments disponibles étayent clairement l’existence d’une campagne de 77 extensions et le comportement d’exfiltration des porte-clés Rabby. En revanche, ils ne permettent pas d’associer de manière fiable chacun des quatre clusters à une famille précise d’extensions ni d’identifier les personnes à l’origine de l’opération.

L’opération serait active depuis au moins mars 2026. À ce stade, elle n’a pas été attribuée à un groupe ou à un acteur de la menace connu.

Les données recherchées par les extensions

Les extensions malveillantes imitaient des produits Web3, notamment OKX, Rabby Wallet et TronLink. Elles visaient plusieurs catégories de données sensibles :

• les phrases de récupération et les clés privées ;
• les porte-clés de portefeuille et autres données sérialisées ;
• les identifiants de compte ;
• le contenu du presse-papiers, qui peut contenir une adresse de portefeuille copiée ou un secret.

Un sous-ensemble de 13 extensions imitant Rabby Wallet exfiltrait les données sérialisées du porte-clés avant leur chiffrement local habituel par Rabby. Les opérateurs pouvaient ainsi récupérer ces informations à un moment où le chiffrement ne les protégeait pas encore.

Les 37 extensions liées aux scores sportifs n’ont pas été confirmées comme des voleurs de portefeuilles dans les analyses disponibles. Leur rapprochement avec les modules malveillants repose sur des recoupements de code, d’infrastructures, de pratiques de publication et d’historiques de versions.

Une campagne répartie en quatre groupes

Socket a réparti l’activité malveillante en quatre clusters. Ces groupes partageaient des indicateurs techniques et opérationnels, sans nécessairement utiliser une interface ou une structure d’extension identique. Cette organisation permettait de disperser la campagne entre plusieurs marques de portefeuilles et de nombreuses identités dans le catalogue Firefox.

Les extensions employaient également plusieurs services pour modifier plus facilement leur comportement et compliquer leur analyse :

• dans certains clusters, des Cloudflare Workers servaient de canaux d’exfiltration pour les données volées ;
• une infrastructure hébergée sur Supabase permettait de contrôler à distance du contenu de hameçonnage ;
• d’autres modules communiquaient avec des serveurs de commande et de contrôle codés en dur afin de collecter des identifiants et des données du presse-papiers.

Avec ce dispositif, le comportement malveillant n’avait pas besoin d’être activé en permanence dans chaque version publiée. Une page de hameçonnage contrôlée à distance pouvait être activée ou désactivée sans soumettre de nouvelle mise à jour de l’extension. Cela réduisait le risque qu’un contrôle ou qu’une analyse ponctuelle observe la charge active.

Des extensions signées transformées après leur publication

L’un des signaux d’évasion les plus importants concerne le détournement de l’historique des versions. Au moins neuf extensions avaient d’abord été publiées comme des applications de scores sportifs, avant d’être transformées en logiciels malveillants ciblant des portefeuilles.

Cette méthode peut rendre un module moins suspect lors de sa première publication : il peut d’abord se constituer un historique et inspirer confiance, puis modifier son comportement dans une version ultérieure. Dans cette campagne, les enregistrements de signature de Mozilla, les identités qui se recoupaient, le code commun et les infrastructures partagées ont aidé les chercheurs à relier des extensions apparemment distinctes à une même opération.

Les données de signature indiquent également que l’activité remontait au moins à mars 2026. Associées aux similitudes de code et d’infrastructure, elles confortent l’évaluation de Socket selon laquelle les 77 identités relevaient d’une campagne coordonnée, et non de soumissions malveillantes isolées.

Que faire si vous avez installé l’une de ces extensions ?

Si vous avez installé une extension suspecte ou y avez saisi des informations sensibles, agissez comme si ces données avaient été exposées :

1. Supprimez immédiatement l’extension. Vérifiez l’ensemble des modules complémentaires installés dans Firefox, et pas uniquement celui qui a déclenché l’alerte.
2. Transférez vos actifs numériques vers un portefeuille nouvellement créé, avec une nouvelle phrase de récupération. Ne réutilisez pas une phrase secrète ou une clé privée exposée.
3. Changez les mots de passe saisis dans l’extension, en commençant par ceux de votre messagerie, de vos plateformes d’échange et des comptes susceptibles de permettre une récupération d’actifs. Activez l’authentification multifacteur et révoquez, lorsque c’est possible, les sessions actives et les clés d’API.
4. Surveillez vos portefeuilles et vos comptes afin de détecter toute activité non autorisée.
5. Signalez l’extension à Mozilla ainsi qu’au fournisseur du portefeuille légitime qu’elle imitait.

Une phrase de récupération, une clé privée ou un porte-clés importé ne doit pas être considéré comme sûr simplement parce qu’aucun vol n’a encore été constaté. La campagne cherchait précisément à collecter des données susceptibles de permettre un accès ultérieur à des comptes ou à des actifs. Il vaut donc mieux prendre des mesures correctives avant l’apparition d’une activité suspecte.

La leçon à retenir

La présence d’une extension dans une place de marché officielle et l’existence d’une signature valide ne suffisent pas à établir sa fiabilité. Les modules liés à cette campagne combinaient une fausse image de marque Web3, du code réutilisé, des extensions signées reconverties, des mécanismes de hameçonnage à distance et une infrastructure partagée. Ces indices se sont révélés particulièrement probants une fois analysés ensemble, plutôt qu’extension par extension.

Les éléments disponibles étayent clairement l’existence d’une campagne de 77 extensions et le comportement d’exfiltration des porte-clés Rabby. En revanche, ils ne permettent pas d’associer de manière fiable chacun des quatre clusters à une famille précise d’extensions ni d’identifier les personnes à l’origine de l’opération.