Malware GreedyBear: 650+ extensões falsas roubaram $1 mi em criptomoedas

A comunidade de cibersegurança está em alerta com a campanha de malware GreedyBear, que roubou mais de US$ 1 milhão em criptoativos por meio de um esquema sofisticado envolvendo centenas de extensões maliciosas para navegadores. Segundo pesquisadores de segurança, esta operação representa um dos ataques mais avançados contra criptomoedas já identificados.

Análise Técnica:
Os invasores criaram mais de 650 extensões falsas para o Firefox que imitavam carteiras legítimas como MetaMask, Phantom e Trust Wallet. Esses aplicativos maliciosos foram distribuídos tanto em lojas oficiais quanto em marketplaces de terceiros, muitas vezes usando contas falsas de desenvolvedores e avaliações manipuladas para parecerem autênticos.

Após a instalação, as extensões apresentavam interfaces quase idênticas às originais, mas continham funcionalidades ocultas que:

• Interceptavam e roubavam chaves privadas e frases de recuperação
• Alteravam detalhes de transações para desviar fundos
• Injertavam códigos para manipular saldos exibidos

A campanha utilizou várias técnicas de evasão, incluindo:

• Ativação retardada de códigos maliciosos (até 2 semanas após instalação)
• Infraestrutura de comando e controle dinâmica
• Ofuscação de código imitando atualizações legítimas

Impacto e Detecção:
A empresa de segurança Koi Security estima que a campanha permaneceu ativa por pelo menos 5 meses antes da detecção, com picos de atividade coincidindo com grandes movimentações do mercado. Os alvos principais incluíam:

• Investidores usando carteiras baseadas em navegador
• Usuários buscando alternativas durante quedas de serviço
• Participantes de airdrops e lançamentos de NFT

Recomendações:

1. Verificar desenvolvedores em múltiplas fontes
2. Monitorar comportamentos anormais em confirmações
3. Usar hardware wallets para valores significativos
4. Auditar extensões instaladas regularmente
5. Criar perfis de navegador dedicados para criptoativos

A operação GreedyBear demonstra a crescente sofisticação dos ataques à cadeia de suprimentos no ecossistema cripto, onde invasores estão cada vez mais focados em comprometer ferramentas de gestão em vez de atacar blockchains diretamente.