Extensão Maliciosa

Pesquisadores de cibersegurança identificaram uma nova evolução da campanha GlassWorm, que agora utiliza um framework de múltiplas etapas para roubo de dados e instalação de um trojan de acesso remoto (RAT). Este malware se disfarça como uma extensão offline do Google Docs e é capaz de registrar teclas, capturar cookies, tokens de sessão e tirar screenshots. A campanha se infiltra em sistemas através de pacotes maliciosos publicados em repositórios como npm e PyPI, e compromete contas de mantenedores de projetos para disseminar atualizações contaminadas.

Pesquisadores de cibersegurança revelaram uma extensão maliciosa do Google Chrome, chamada MEXC API Automator, que tem a capacidade de roubar chaves API associadas à MEXC, uma exchange de criptomoedas centralizada disponível em mais de 170 países. Publicada em setembro de 2025, a extensão, que já conta com 29 downloads, se apresenta como uma ferramenta para automatizar operações de trading na plataforma. Ao ser instalada, ela cria programaticamente novas chaves API, habilita permissões de retirada e oculta essas permissões na interface do usuário. As chaves geradas são então enviadas para um bot do Telegram controlado pelo atacante.

Pesquisadores de cibersegurança identificaram uma nova extensão maliciosa chamada Crypto Copilot na Chrome Web Store, que é capaz de injetar transferências ocultas de Solana em transações de troca, desviando fundos para uma carteira controlada por atacantes. Publicada em 7 de maio de 2024, a extensão foi descrita como uma ferramenta para ’negociar criptomoedas diretamente no X com insights em tempo real’. No entanto, por trás de sua interface, ela adiciona uma transferência extra em cada troca de Solana, cobrando uma taxa mínima de 0.0013 SOL. O código malicioso é ofuscado para evitar detecção e se ativa durante as trocas na plataforma Raydium, um DEX na blockchain Solana. A extensão também se comunica com um backend para registrar carteiras conectadas e monitorar atividades dos usuários, mantendo os usuários desinformados sobre as taxas ocultas. A extensão ainda está disponível para download, apesar de seu comportamento fraudulento.

Pesquisadores da Socket identificaram uma extensão maliciosa chamada Safery: Ethereum Wallet, disponível na Chrome Web Store, que se disfarça como uma carteira de criptomoedas segura. Desde sua publicação em 29 de setembro de 2025, a extensão tem como objetivo roubar as seed phrases, que são as senhas utilizadas para recuperar carteiras de criptomoedas. A extensão contém uma backdoor que extrai essas frases mnemônicas e as envia disfarçadas como endereços de carteiras Sui, utilizando microtransações de 0,000001 SUI para ocultar o roubo. Essa técnica permite que os hackers obtenham as seed phrases sem a necessidade de um servidor de comando e controle, tornando o ataque mais difícil de detectar. Os especialistas recomendam que usuários de criptomoedas utilizem apenas extensões confiáveis e conhecidas, além de sugerirem que organizações realizem escaneamentos em busca de códigos maliciosos em extensões instaladas. A extensão ainda está disponível para download, o que representa um risco significativo para os usuários de criptomoedas.