Encontrarnos con extensiones falsas para navegadores como Chrome o Firefox, es algo relativamente habitual. Los piratas informáticos, pueden usar esta técnica para robar datos o contraseñas. Lo que no es tan común es que estos complementos estén en la tienda oficial del propio navegador, ya que han tenido que pasar un filtro previo. Eso es lo que ha ocurrido con decenas de extensiones de Firefox.
Estos complementos maliciosos, suplantan la identidad de plataformas reconocidas. Lo que buscan es ganarse la confianza de la víctima, para que crea que está instalando un software legítimo, inofensivo, pero realmente se trata de una trampa. En este caso, simulan ser aplicaciones de carteras de criptomonedas para robar dinero.
Complementos falsos en la tienda de Firefox
Estas extensiones falsas han sido detectadas por investigadores de seguridad de Koi Security. Han indicado en su informe FoxyWallet, del pasado 2 de julio, que se hacen pasar por plataformas conocidas, como es el caso de Coinbase, MetaMask o MyMonero, entre otras. En total, hay más de 40 complementos para Firefox, en su propia tienda oficial, que son un fraude.
Algo que hay que destacar, es que muchos de estos complementos falsos son copias exactas de los legítimos. Se aprovechan del código abierto de ese software para modificarlos y añadirles código malicioso. Están diseñados para filtrar claves y datos y que los cibercriminales tengan el control. Aunque hay algunos que son útiles, incluso extensiones para mejorar la seguridad, la realidad es que vemos continuamente ataques de este tipo. Un ejemplo fueron las extensiones de Chrome que simulaban ser de YouTube, pero eran un fraude.
También hay que mencionar que, según estos investigadores de seguridad, esta campaña lleva activa desde, al menos, el pasado mes de abril. No han tenido siempre las mismas extensiones, sino que han ido añadiendo nuevas con el paso del tiempo. Incluso la semana pasada, según los datos más recientes, añadieron algunos complementos maliciosos más a la tienda oficial de Firefox.
Cuando roban las credenciales de las víctimas, que en un principio no sospechan nada, realizan transacciones irreversibles y que parecen legítimas. Vacían esas carteras con criptodivisas y las transfieren a otras controladas por los piratas informáticos. En cuanto las criptomonedas salen de la cuenta, ya no hay retorno.
Campaña bien organizada
Los responsables de esta campaña han demostrado un alto nivel de sofisticación: han clonado el código de las extensiones legítimas, han reproducido con precisión los logotipos oficiales y han generado cientos de reseñas falsas de cinco estrellas (la máxima puntuación) para simular legitimidad. Aunque han eliminado muchas de ellas, desde Koi Security han indicado que aún hay alguna presente.
Sin embargo, hay un detalle que debería hacer saltar las alarmas: hay más reseñas que descargas o instalaciones. Por tanto, esa es una señal clara que deberías tener al instalar un complemento de este tipo y no caer en la trampa. No basta solo con revisar las reseñas, ni siquiera ir a tiendas oficiales para descargar el software, sino analizar todo muy bien. Observa si hay algo raro, como demasiadas reseñas para tan pocas descargas.
Debes mirar bien las reseñas, quién las escribe y de qué manera. No te quedes únicamente con la valoración que le dan. Esto puede dar pistas sobre si lo está escribiendo realmente una persona o se trata de un bot que lo que busca es inflar un complemento en concreto.
Recientemente, el pasado 4 de junio, publicamos que Firefox tiene ahora una función para alertar de extensiones falsas relacionadas con las criptomonedas. Es un sistema que, sobre el papel, debería bloquearlas y lanzar un aviso. Utiliza indicadores automatizados para evaluar el nivel de riesgo. En cuanto pasa del umbral establecido, revisores humanos lo analizan y, en caso de ser necesario, bloquean ese complemento. Parece que siguen colándose algunas extensiones fraudulentas, pese a las mejorar en seguridad.
Como usuarios, te recomendamos que tengas siempre todo actualizado, que evites instalar extensiones en la medida de lo posible y que te asegures de que lo que estás instalando es legítimo. Revisa fechas, lee comentarios, analiza bien la imagen del complemento… Ante la mínima duda, no instales nada así.