Firefox: 16 tiện ích ví giả mạo nhắm vào cụm từ khôi phục

Công ty bảo mật Socket phát hiện 16 tiện ích mở rộng Firefox giả mạo ví Rabby và OKX, nhằm đánh cắp cụm từ khôi phục và khóa riêng tư. Mozilla đã ngừng phân phối các tiện ích này tính đến ngày 5 tháng 10, nhưng những ví đã nhập cụm từ khôi phục cần được xử lý riêng.

Trong báo cáo phân tích, Socket cho biết 4 tiện ích sao chép giao diện ví Rabby, còn 12 tiện ích dùng giao diện giống ví OKX. Các tiện ích được thiết kế để gửi cụm từ khôi phục nhập trong quá trình nhập ví đến máy chủ của kẻ tấn công. Socket cũng cho biết bản sao ví Rabby có chức năng đánh cắp khóa riêng tư.

Cụm từ khôi phục là một chuỗi từ dùng để khôi phục ví. Socket giải thích rằng chỉ xóa tiện ích hoặc đổi mật khẩu không đủ để loại bỏ rủi ro nếu cụm từ này đã bị lộ. Socket khuyến nghị người dùng đã nhập cụm từ khôi phục hoặc khóa riêng tư tạo ví mới trên thiết bị an toàn rồi chuyển tài sản sang ví đó.

Không phải cả 16 tiện ích đều hoạt động theo cùng một cách. Socket cho biết trong số 12 tiện ích giả mạo ví OKX, có một tiện ích không thể thực thi chức năng đánh cắp một cách bình thường khi được phân phối. Tiện ích này chưa được cấu hình để chạy tập lệnh nền cần thiết, đồng thời tên thông điệp mà giao diện và tập lệnh sử dụng cũng không khớp. Tuy vậy, Socket cho biết mã của tiện ích vẫn có chức năng thu thập cụm từ khôi phục và xác định máy chủ nhận dữ liệu.

Các ví giả được thiết kế để khó nhận biết chỉ qua tên hoặc giao diện. Bản sao ví Rabby giữ lại phần lớn giao diện và chức năng của ví gốc, còn các tiện ích giả mạo ví OKX có cả chức năng dẫn đến trang trợ giúp chính thức. Thông tin tiện ích hiển thị quyền thu thập dữ liệu là “không có”, nhưng Socket cho biết mã được phân tích vẫn có chức năng xử lý thông tin ví và gửi ra bên ngoài.

Phát hiện lần này nối tiếp cuộc điều tra trước đó của Socket về 40 tiện ích mở rộng Firefox có chức năng độc hại, được TokenPost đưa tin. Dựa trên những điểm tương đồng về phương thức tấn công và máy chủ được xác định trong hai cuộc điều tra, Socket đánh giá 16 tiện ích lần này là phần tiếp nối của luồng tấn công trước. Theo Socket, tên và thông tin nhận dạng của các tiện ích đã thay đổi, nhưng một phần giao diện ví và mã đánh cắp được tái sử dụng.

Socket khuyến nghị người dùng kiểm tra các tiện ích đã cài trên Firefox. Nếu từng nhập cụm từ khôi phục vào các tiện ích này, người dùng nên xem cả những tài khoản được tạo từ cụm từ đó là đã bị lộ. Người dùng đồng bộ Firefox trên nhiều thiết bị cũng cần kiểm tra tình trạng tiện ích trên từng thiết bị. Việc ngừng phân phối chỉ ngăn cài đặt mới; rủi ro từ cụm từ khôi phục đã nhập cần được xử lý riêng.