Google verwijdt 49 phishing-extensies die crypto-gegevens stelen

Onlangs heeft Google 49 verschillende phishing-extensies binnen de webbrowser Google Chrome verwijderd. Dit nadat de wereldwijde bedrijf achter de gelijknamige zoekmachine rapporten over de activiteiten van de extensies had onderzocht.

24-uurscheck

Harry Denley, hoofd van beveiliging bij crypto-startup ‘MyCrypto’, heeft in een interview toegelicht hoe hij binnen een periode van slechts 24 uur een extensie uit de Chrome-winkel kan verwijderen. Dit kan naar verluidt met behulp van het cybersecuritybedrijf ‘PhishFort’. Dit bedrijf is gespecialiseerd in phishing-activiteiten.

Hierdoor worden alle (nieuwe) extenties die in de Chrome-winkel terecht komen binnen 24 uur gecheckt, en wanneer nodig ook verwijdert. Veel van de verwijderde extensies zijn gericht op personen met een wallet die is geproduceerd door Ledger, Trezor en KeepKey. Ook een aantal software-wallets zijn populair onder phishers, namelijk MyEtherWallet, Exodus en Metamask.

Wat deden de extensies precies?

Wanneer een gebruiker de kwaadaardige extensies installeert, worden alle inloggegevens vanaf dat moment doorgestuurd naar een adres van de aanvaller. Dit houdt in dat wanneer een slachtoffer zijn of haar inloggegevens invult, deze worden onderschept door een hacker, of een hackersgroep. Zij kunnen deze gegevens vervolgens gebruiken om cryptocurrencies te stelen van de slachtoffers.

Om toch als goede extensie over te komen, maakte sommige ontwikkelaars gebruik van valse vijf sterren beoordelingen, inclusief nep geschreven recensies. Een van de extensies, die was gericht op MyEtherWallet, ging zelfs zo ver dat het één specifieke recensie in totaal acht keer heeft gekopieerd en geplakt, met een uitleg over MyEtherWallet en een inleiding tot Bitcoin (BTC).

Gefraudeerd bij controleservers

Na onderzoek gedaan te hebben bleek dat 14 servers die dienen om de extensies te controleren werd beheerd door dezelfde slechte actoren. Hierdoor konden deze extensies de controle vermijden en worden goedgekeurd in de Chrome-winkel. De betreffende servers zijn inmiddels uit de lucht gehaald.

Ook bleek dat 80% van de domeinen die gebruikt werden bij de phishing-campagnes zijn geregistreerd in maart of april 2020. Hiermee is het grootste deel van de extensies ongeveer een maand zichtbaar geweest voor het grote publiek.

Niet de eerste keer

Het komt helaas steeds vaker voor dat hackers opzoek zijn naar cryptocurrency-gegevens van anderen. Zo is bijvoorbeeld in augustus 2019 bekend geworden dat Noord-Korea voor maar liefst 2 miljard aan Amerikaanse dollars heeft binnengehaald via een cyberaanval.

Ook is in de Verenigde Staten (VS) een sanctie opgelegd aan 3 hackersgroepen nadat zij waren gesanctioneerd voor cybercriminaliteit. In totaal zou hier voor circa $571 miljoen zijn gestolen.

Tot slot werd in oktober 2019 bekend dat hackers diverse services aanbieden voor datastelende malware. Met deze services worden onder andere creditcardgegevens, crypto-adressen en e-mailgegevens gestolen en op servicebasis aangeboden. Het is nog onbekend hoeveel geld exact met deze service is gestolen.