A Socket revelou hoje uma série de extensões maliciosas para o Firefox: 40 já confirmadas por roubo de carteiras ou credenciais, além de outras 37 associadas à mesma rede de publicação.
Ainda mais digno de nota do que “extensões de falsa carteira” é o fato de que algumas inicialmente eram apenas placares esportivos ou ferramentas comuns e, depois, reaproveitaram o mesmo ID do Firefox para se transformar, via atualizações de versão, em programas de roubo de carteiras. Para o usuário, ao instalar pela primeira vez, o que ele vê pode realmente parecer uma funcionalidade normal.
Esse é o risco da cadeia de suprimentos das carteiras do navegador: você confia não apenas no pacote instalado, mas também na conta do publicador, nas atualizações automáticas posteriores e no conteúdo remoto carregado pela extensão. Verificar nome e classificação no momento da instalação só prova que, na hora, parecia normal; não garante que daqui a seis meses a versão continue normal.
Entre elas, 13 versões modificadas da extensão Rabby exfiltram o keyring antes de ele ser criptografado localmente. Esse detalhe é contra-intuitivo: mesmo que a carteira alegue “dados criptografados localmente”, se o código malicioso for inserido antes da criptografia, ainda assim consegue obter o texto em claro.
Meu procedimento é separar ativos e navegador: uso carteiras para interações frequentes apenas com valores pequenos; não deixo ativos de longo prazo em extensões de navegador do dia a dia; verifico periodicamente a lista de extensões, o publicador e mudanças recentes de versão. Se o ícone, as permissões ou a interface mudarem de repente, eu desabilito primeiro — sem pressa de inserir a frase de recuperação para validar.
A loja oficial pode reduzir o custo de triagem, mas não substitui uma verificação contínua da cadeia de atualizações.
Com que frequência você verifica as extensões de carteira no seu navegador?
Ainda mais digno de nota do que “extensões de falsa carteira” é o fato de que algumas inicialmente eram apenas placares esportivos ou ferramentas comuns e, depois, reaproveitaram o mesmo ID do Firefox para se transformar, via atualizações de versão, em programas de roubo de carteiras. Para o usuário, ao instalar pela primeira vez, o que ele vê pode realmente parecer uma funcionalidade normal.
Esse é o risco da cadeia de suprimentos das carteiras do navegador: você confia não apenas no pacote instalado, mas também na conta do publicador, nas atualizações automáticas posteriores e no conteúdo remoto carregado pela extensão. Verificar nome e classificação no momento da instalação só prova que, na hora, parecia normal; não garante que daqui a seis meses a versão continue normal.
Entre elas, 13 versões modificadas da extensão Rabby exfiltram o keyring antes de ele ser criptografado localmente. Esse detalhe é contra-intuitivo: mesmo que a carteira alegue “dados criptografados localmente”, se o código malicioso for inserido antes da criptografia, ainda assim consegue obter o texto em claro.
Meu procedimento é separar ativos e navegador: uso carteiras para interações frequentes apenas com valores pequenos; não deixo ativos de longo prazo em extensões de navegador do dia a dia; verifico periodicamente a lista de extensões, o publicador e mudanças recentes de versão. Se o ícone, as permissões ou a interface mudarem de repente, eu desabilito primeiro — sem pressa de inserir a frase de recuperação para validar.
A loja oficial pode reduzir o custo de triagem, mas não substitui uma verificação contínua da cadeia de atualizações.
Com que frequência você verifica as extensões de carteira no seu navegador?