Firefox’ta 16 sahte cüzdan eklentisi kurtarma ifadelerini hedef aldı

Güvenlik şirketi Socket, Rabby Wallet ve OKX Wallet’ı taklit ederek cüzdan kurtarma ifadelerini ve özel anahtarları hedef alan 16 Firefox eklentisi tespit etti. Mozilla, 5 Ekim itibarıyla bu eklentilerin dağıtımını durdurdu. Ancak kurtarma ifadesini daha önce girmiş olan kullanıcıların ayrıca önlem alması gerekiyor.

Socket, analiz raporunda dört eklentinin Rabby Wallet arayüzünü kopyaladığını, 12’sinin ise OKX Wallet’a benzeyen ekranlar kullandığını bildirdi. Şirkete göre eklentiler, cüzdanı içe aktarma sırasında girilen kurtarma ifadelerini saldırganların sunucusuna gönderecek şekilde tasarlandı. Rabby Wallet kopyalarında özel anahtarları çalma işlevi de bulunuyordu.

Kurtarma ifadesi, bir cüzdanı yeniden oluşturmak için kullanılan kelime dizisidir. Socket, bu ifade açığa çıktıysa eklentiyi silmenin veya parolayı değiştirmenin riski ortadan kaldırmayacağını belirtti. Kurtarma ifadesini ya da özel anahtarını girmiş kullanıcılara güvenli bir cihazda yeni cüzdan oluşturmalarını ve varlıklarını buraya aktarmalarını önerdi.

16 eklentinin tamamı aynı şekilde çalışmıyordu. Socket, OKX Wallet’ı taklit eden 12 eklentiden birinin dağıtımdayken hırsızlık işlevini düzgün biçimde çalıştıramadığını açıkladı. Gerekli arka plan betiği çalışacak şekilde ayarlanmamıştı; ayrıca arayüz ile betiğin kullandığı mesaj adları uyuşmuyordu. Buna rağmen Socket, eklentinin kodunda kurtarma ifadesi toplama işlevini ve verilerin gönderileceği hedefi tespit etti.

Sahte cüzdanlar, yalnızca adlarına veya arayüzlerine bakılarak ayırt edilmelerini zorlaştıracak şekilde hazırlandı. Rabby Wallet kopyalarında orijinal cüzdanın arayüzü ve işlevlerinin önemli bir bölümü korunmuştu. OKX Wallet taklitlerinde ise resmi yardım sayfasına yönlendiren bir özellik de vardı. Eklenti bilgilerinde veri toplama izni ‘yok’ olarak görünüyordu; ancak Socket, incelediği kodda cüzdan bilgilerini işleyip dışarı gönderen işlevler bulunduğunu bildirdi.

Bu bulgu, Socket’in daha önce Firefox için 40 sahte cüzdan eklentisindeki zararlı işlevleri tespit ettiği araştırmanın devamı niteliğinde. Socket, iki incelemede belirlenen saldırı yöntemleri ve sunucular arasındaki benzerliklere dayanarak yeni 16 eklentiyi önceki saldırı zincirinin devamı olarak değerlendirdi. Şirkete göre program adları ve tanımlayıcıları değişmiş olsa da cüzdan arayüzleri ile hırsızlık kodlarının bir bölümü yeniden kullanıldı.

Socket, kullanıcıların Firefox’a yükledikleri eklentileri kontrol etmelerini ve bu eklentilere kurtarma ifadesi girdilerse ifadeden türetilen hesapları da ele geçirilmiş kabul etmelerini önerdi. Firefox’u birden fazla cihazda eşitleyenlerin her cihazdaki eklenti durumunu da incelemesi gerekiyor. Dağıtımın durdurulması yeni kurulumları engelliyor; daha önce girilmiş kurtarma ifadelerinin oluşturduğu risk ise ayrıca ele alınmalı.