Investigadores han identificado una campaña que introdujo decenas de extensiones maliciosas en la tienda oficial de Mozilla Firefox. El objetivo principal de la campaña es el robo de frases semilla y claves privadas de carteras criptográficas de usuarios.
Extensiones falsificadas con identidad legítima
Las extensiones maliciosas se presentan como herramientas legítimas, incluyendo marcas reconocidas como Coinbase, MetaMask, Trust Wallet, Phantom y Exodus. Los atacantes copian el nombre, logotipo e incluso parte del código fuente abierto de estos proyectos para aumentar su credibilidad.
Manipulación artificial de valoraciones
Los atacantes inflan artificialmente las valoraciones con cientos de reseñas de cinco estrellas, superando significativamente el número real de instalaciones. Una vez activas en el navegador, estas extensiones pueden leer contenido de páginas web de carteras y interceptar frases semilla.
Interceptación de datos y tráfico oculto
Las extensiones envían la dirección IP pública del usuario al servidor controlado por los atacantes. El tráfico generado por las extensiones pasa desapercibido para muchos antivirus y filtros de red tradicionales.
Identificación y retirada de extensiones
El equipo de Koi Security identificó al menos 40 extensiones distintas asociadas a esta campaña. La campaña se ha mantenido activa desde abril de 2025. Se han documentado subidas recientes, lo que indica que el actor sigue operando.
Indicios de origen ruso
Comentarios en ruso dentro del código y metadatos de los servidores sugieren la participación de un grupo con habla rusa. Mozilla ha retirado casi todas las extensiones implicadas —excepto una versión de MyMonero Wallet—.
Medidas de prevención
Mozilla afirma disponer de un «sistema de detección temprana» para bloquear futuras variantes antes de que ganen popularidad. Las mitigaciones incluyen instalar extensiones solo de editores verificados, auditar periódicamente el comportamiento de las extensiones y utilizar un sistema de detección temprana para bloquear futuras variantes antes de que ganen popularidad.