Google移除49个窃取加密货币钱包机密的恶意Chrome外挂

安全研究人员发现Chrome Web Store上，出现49个假冒加密货币钱包的Chrome插件，旨在窃取用户账户里的金钱，已经遭Google下架。

MyCrypto及安全厂商PhishFort近日发现，Chrome Web Store上出现一批假冒的Chrome浏览器外挂，冒充知名电子钱包服务，像是Ledger、Trezoe、Jaxx、Electrum、MyEtherWallet、MetaMask、Exodus和KeyKeep，利用Google Ads或其他管道大打广告，吸引用户下载。

这些假外挂基本上旨在骗取用户敏感资讯，包括开启电子钱包的助记词（mnemonic phrases）、密钥、密钥储存的档案等。用户连到输入这些资讯后，外挂就会将向后端服务器传送HTTP POST呼叫，而把资讯传给骇客，后者就可以借此洗劫用户钱包。

研究人员发现这些假外挂连向14个彼此连结的不同C&C服务器，但仔细分析所用的程式，其实背后连向同一组人，研判是操俄罗斯语的骇客，他们化身不同品牌骗取不同用户。这些C&C服务器的网域有80%，都是在今年3到4月间注册。

这些外挂部分于2月出现在Chrome Web Store上，其他则于后续2个月新增，其中有些甚至还获得5颗星的评分。根据近日和这些电子钱包的新闻，研究人员相信已经有用户钱包遭到窃取，也呼吁受害用户通报。

研究人员通报后，Google已经在24小时内将这近50款外挂移除。不过研究人员警告，由于歹徒还未落网，因此类似的假外挂未来可能还会出现在Chrome Web Store上。