恶意扩展

ChainCatcher 消息，据 Decrypt 报道，安全公司 Socket 发布研究结果，将 77 个 Firefox 扩展身份关联到其称为“越位钱包盗窃工厂”的恶意活动，其中 40 个已确认存在恶意行为。 这些扩展伪装成 OKX、Rabby Wallet、TronLink 等 Web3 产品，通过伪造钱包界面诱导用户导入钱包，或使用修改版真实钱包代码，在用户输入时窃取助记词和私钥。Mozilla 签名记录显示该活动从 3 月 9 日持续至 8 月 3 日，Socket 报告时仍有多个扩展在线。 其中约半数扩展展示逼真的钱包界面并要求用户导入现有钱包，从而截获输入的助记词或私钥；另有 13 个是 Rabby 的修改版本，在正常运作的同时将钱包存储的账户数据发送至外部服务器；还有 5 个专门收集已保存的凭证和剪贴板内容。 此外，37 个扩展伪装成密码生成器、暗黑模式切换、VPN、货币转换器和笔记工具，实际运行共享同一硬编码凭证的体育比分应用。9 个已确认的恶意扩展最初以足球、篮球等比分应用形式发布，后续更新才替换为钱包窃取代码。 Socket 将该活动命名为“越位钱包盗窃工厂”，但提醒尚未确认所有扩展背后由同一操作者控制。Socket 团队表示，任何在这些扩展中输入过助记词或私钥的用户都应视为“永久泄露”，并立即将资金转移至新钱包，因为卸载扩展无法撤销已发送到别处的助记词。

ChainCatcher 消息，GoPlus 发布安全警报，Chrome 浏览器漏洞允许恶意扩展程序通过 Gemini 面板提升权限，请立即升级 Chrome 浏览器到 143.7499.192 版本以上。该漏洞允许恶意扩展程序控制 Chrome 浏览器中的 Gemini Live 面板并以此提升权限，从而在未经用户许可的情况下访问摄像头和麦克风、截取屏幕截图、访问本地文件等。漏洞编号为 CVE-2026-0628，谷歌已于 2026 年 1 月初在 Windows/Mac 版本 143.7499.192/.193 和 Linux 版本 143.7499.192 中修复了该漏洞，请立即检查并升级您的 Chrome 版本。

ChainCatcher 消息，据安全机构 Socket 威胁研究团队报告，一款名为 “MEXC API Automator” 的恶意 Chrome 扩展程序自 2025 年 9 月 1 日起在 Chrome 应用商店上架，可窃取用户在加密货币交易所 MEXC 新创建的 API 密钥并发送至攻击者控制的 Telegram 机器人。该扩展程序以交易自动化为诱饵，在用户不知情的情况下自动生成具有提现权限的 MEXC API 密钥，并在界面中隐藏该权限显示，随后将密钥与密文外泄。攻击者借此可完全控制受害者的 MEXC 账户，执行交易、启动自动提现操作并转移账户内资产。截至报告发布时，该扩展程序仍可在 Chrome 应用商店中下载，研究团队已向谷歌通报并标记此扩展。

ChainCatcher 消息，慢雾创始人余弦发文称，“大家警惕 @osiris_guard 这个所谓的 Web3 安全插件，这是个恶意插件，如果 Chrome 上安装了，这个恶意插件就会通过替换链接方式，导致用户下载的知名程序变成木马程序，于是电脑沦陷，最终就是电脑上有关钱包被盗、相关关键账号被一窝端，结局都差不多，但骗术多了点花样。细节分析进行中。”

ChainCatcher 消息，谷歌 Chrome 浏览器近日发现了一款名为“VenomSoftX”的恶意扩展程序，可以用于窃取用户的加密货币和敏感数据。该扩展程序通过 Windows 版 ViperSoftX 恶意软件安装，是基于 JavaScript 的 RAT（远程访问木马）和加密货币劫持者。 安全公司 Avast 通过分析 ViperSoftX 和 VenomSoftX 样本中硬编码的钱包地址发现，截至 11 月 8 日，两者总共为其黑客赚取了约 13 万美元。这种被盗的加密货币是通过转移被攻击设备上尝试的加密货币交易获得的，不包括平行活动的利润。(IT 之家)