Estensioni Chrome malware crypto attaccano dopo mesi di installazioni

Gli attacchi delle estensioni malware su Chrome sfruttano lapparente innocuità iniziale e si attivano dopo mesi, puntando al furto di dati sensibili, wallet crypto e violando la fiducia negli store digitali, con rischi persistenti per utenti e aziende.

Il 10 luglio 2026, Google ha rimosso ModHeader dal Chrome Web Store dopo che due team indipendenti di ricercatori avevano individuato unintera infrastruttura destinata a raccogliere, cifrare e inviare a un server remoto i domini visitati dagli utenti. Il codice era inattivo, ma risultava gi presente su 1,6 milioni di browser, tra Chrome ed Edge. Per mesi non aveva suscitato sospetti.

ModHeader veniva usata soprattutto da sviluppatori e sistemisti. In questa posizione poteva intercettare dati legati a sessioni di lavoro critiche, API key e cookie di autenticazione. Il punto pi delicato era un altro: il sistema di raccolta avrebbe potuto essere attivato in qualunque momento con un singolo aggiornamento, senza richiedere nuovi permessi n mostrare avvisi. La base di installazioni, considerata affidabile, era quindi gi pronta.

Estensioni Chrome malware crypto, come nasce una minaccia silenziosa

A fine agosto 2026, una ricerca commissionata a una societ specializzata in sicurezza informatica ha portato allindividuazione di un gruppo di 19 estensioni. Lo schema quello che ricorre pi spesso negli attacchi condotti attraverso il browser: prima viene pubblicato un prodotto apparentemente legittimo, poi si accumulano reputazione, recensioni e installazioni. Solo in un secondo momento, tramite un aggiornamento automatico, compaiono le funzioni malevole.

Fra le estensioni pi impattanti cera Enable Right Click Copy Smart Unlock + OCR, arrivata a 80.000 installazioni grazie a funzioni presentate come strumenti di produttivit. Altri componenti promettevano tool per il settore crypto, utility SEO, monitoraggio dei prezzi o snippet di codice. Una volta compromessi, per, potevano comportarsi da infostealer: intercettavano credenziali, dirottavano le ricerche e arrivavano a prosciugare wallet di criptovalute. Per utenti e aziende, le conseguenze potevano essere catastrofiche.

Lattesa prima dellattacco e laccumulo di installazioni

Chi gestisce queste campagne non ha fretta. Dopo aver pubblicato o acquistato estensioni inizialmente funzionanti, gli attaccanti lasciano trascorrere settimane o mesi senza attivare il codice dannoso. Serve tempo per superare i filtri automatici, raccogliere recensioni e download e sfruttare la fiducia che lo store attribuisce al prodotto.

Quando lestensione raggiunge una massa critica di installazioni, spesso nellordine di alcune migliaia o di decine di migliaia, un aggiornamento silenzioso pu introdurre moduli dedicati alla raccolta o allesfiltrazione dei dati. Le versioni pi sofisticate non eseguono subito tutte le loro funzioni: conservano componenti dormienti, pronti a essere risvegliati da istruzioni inviate dal server remoto.

I nomi delle estensioni e il ruolo degli sviluppatori

La campagna Superior, emersa nel 2026, ha seguito due strade. In alcuni casi le estensioni sono state pubblicate direttamente da cybercriminali; in altri, i responsabili hanno acquistato progetti legittimi da sviluppatori che avevano gi costruito una reputazione positiva e poi ceduto la propriet dei propri prodotti.

Tra i nomi coinvolti figurano Enable Right Click Copy Smart Unlock + OCR, Good Tab, DPS Websafe, Stock Informer, Children Protection e ModHeader, nelle versioni a rischio identificate. Altri componenti imitavano nellaspetto e nelle funzioni noti ad blocker o strumenti di parental control.

Lindagine non ha attribuito con certezza la campagna a un gruppo o a singoli sviluppatori. Alcuni segnali tecnici, per, hanno indicato limpiego di team capaci di occultare il codice e di aggirare le analisi automatiche condotte dagli store.

Il ciclo di vita delle estensioni malevole

Le diverse ondate seguono tappe molto simili:

• Pubblicazione dello strumento, con funzioni realmente utili e un numero ridotto di permessi richiesti.
• Accumulo di download e recensioni, talvolta sostenuto da campagne pubblicitarie o da giudizi manipolati.
• Periodo di attesa, che pu durare mesi, mantenendo un profilo basso e senza generare avvisi di sicurezza rilevabili.
• Inserimento del codice malevolo attraverso un aggiornamento automatico oppure attivando moduli rimasti dormienti.
• Raccolta e trasmissione dei dati, furto di credenziali o wallet crypto, comando remoto e iniezione di codice.

Le cifre e la soglia che rende lattacco conveniente

Nelle ondate osservate nel 2025 e nel 2026, le estensioni prendevano di mira soglie comprese tra 10.000 e 100.000 utenti prima di mostrare comportamenti illeciti evidenti. ModHeader ha superato 1,6 milioni di installazioni prima di essere rimossa. La campagna ShadyPanda ha raggiunto i 4 milioni di utenti su Chrome ed Edge.

La soglia, per, non necessariamente un numero prestabilito. Pu indicare la massa critica oltre la quale lattivazione diventa abbastanza redditizia e, nello stesso tempo, pi difficile da arrestare.

Quali dati venivano sottratti

Le estensioni compromesse erano in grado di intercettare:

• Credenziali di accesso a portali cloud, webmail e servizi SaaS;
• Password e informazioni inserite nei moduli dei siti visitati;
• Seed phrase, chiavi private e codici di backup dei wallet crypto;
• Token OAuth e sessioni di autenticazione;
• Cronologia della navigazione, storia delle visite e siti consultati pi spesso;
• Dati aziendali strategici, utili per entrare in gestionali, portali dei fornitori e account cloud.

Le tecniche non erano tutte uguali. Alcuni componenti modificavano gli script inseriti nelle pagine; altri intercettavano informazioni presenti negli appunti o nei cookie di sessione. In determinati casi venivano scaricati payload malevoli da server remoti, mentre il traffico poteva essere dirottato verso portali controllati dagli attaccanti.

Update silenziosi e tecniche di persuasione

Al momento dellinstallazione, lestensione pu chiedere soltanto pochi permessi. Gli aggiornamenti successivi, distribuiti automaticamente secondo le policy di Chrome ed Edge, introducono nuove funzioni, richiedono accessi pi ampi oppure scaricano componenti da server gestiti dagli attaccanti.

Non manca lingegneria sociale. Popup falsi possono spingere lutente a installare manualmente un presunto aggiornamento. Un altro schema quello chiamato ClickFix: alla persona viene chiesto di copiare comandi che sembrano legittimi, ma che in realt avviano linstallazione di altro malware.

I segnali che devono insospettire

Alcuni indizi meritano attenzione, soprattutto quando compaiono insieme:

• Permessi troppo estesi, per esempio laccesso a tutti i siti o la lettura dei dati inseriti nei moduli.
• Publisher poco trasparenti, senza un sito ufficiale o con informazioni molto scarne sullo sviluppatore.
• Aggiornamenti anomali, accompagnati da un cambio improvviso di nome, editore, logo o descrizione.
• Recensioni manipolate, con molti giudizi positivi pubblicati in un intervallo molto breve.
• Richieste sospette, come popup che invitano a inserire seed phrase o credenziali.

Preso da solo, un segnale non basta sempre a dimostrare una compromissione. La combinazione di pi anomalie, invece, spesso indicativa di unestensione a rischio.

Iniezione di codice e furto dai wallet crypto

Le campagne pi aggressive hanno sfruttato le autorizzazioni necessarie ad accedere alle pagine web per inserire JavaScript malevolo direttamente nei servizi crypto e negli exchange. Il codice poteva sottrarre seed phrase oppure alterare linterfaccia, sostituendo gli indirizzi di ricezione.

In questo modo le transazioni in uscita venivano intercettate. In altri casi gli attaccanti raccoglievano immagini dello schermo per aggirare alcune conferme di sicurezza. Il bersaglio non erano soltanto gli utenti individuali: lattacco poteva coinvolgere anche token multifirma e credenziali aziendali, con un aumento dei danni possibili.

Che cosa possono e non possono garantire gli store ufficiali

Google ha aggiornato i criteri di pubblicazione passando dal modello Manifest V2 al Manifest V3. La transizione ha introdotto restrizioni pi severe sui permessi e sugli script eseguibili dalle estensioni.

Il cambiamento non ha eliminato gli abusi. Una minaccia pu imitare comportamenti legittimi oppure rimandare lattivazione a dopo la revisione manuale. La presenza nel negozio ufficiale, quindi, non equivale a una garanzia di sicurezza destinata a durare nel tempo.

Contromisure per utenti e aziende

Lesperienza dei casi pi recenti indica alcune pratiche concrete:

• Controllare periodicamente le estensioni installate e rimuovere quelle non pi utilizzate o che destano dubbi.
• Verificare i permessi concessi, prestando particolare attenzione alle richieste che compaiono dopo un aggiornamento.
• Consultare fonti esterne e community prima di considerare affidabile unestensione.
• Controllare e bloccare le installazioni non autorizzate sulle postazioni aziendali.
• Formare il personale sui popup di aggiornamento e sulle tecniche di social engineering.

In azienda, strumenti come gli EDR, cio Endpoint Detection and Response, consentono di monitorare gli endpoint in modo centralizzato e di revocare le estensioni pericolose da tutte le workstation.

Procedura demergenza dopo una possibile compromissione

Quando unestensione appare compromessa, la risposta deve seguire una sequenza precisa:

• Rimuoverla subito dal browser, utilizzando le impostazioni interne.
• Revocare le sessioni attive e le autorizzazioni concesse a siti e applicazioni tramite Google, Microsoft o altri provider cloud.
• Cambiare le credenziali da un dispositivo pulito, che non sia stato contaminato.
• Controllare le transazioni crypto e bloccare i wallet quando possibile, segnalando le operazioni fraudolente.
• Usare hardware wallet o autenticazione a pi fattori per le attivit sensibili.

Su una postazione aziendale queste misure devono essere accompagnate dallanalisi dei log di rete. Lobiettivo cercare tracce di esfiltrazione o contatti con domini gi noti per attivit malevole.

Difendersi nel tempo, senza dare per acquisita la fiducia

Nei casi analizzati, il rischio pi serio non compare necessariamente subito. Pu emergere mesi o anni dopo linstallazione, in seguito a un cambio di propriet, a un aggiornamento sospetto o a una modifica delle condizioni dello store.

La lista delle estensioni dovrebbe restare ridotta a ci che serve davvero. Va aggiornata con regolarit, eliminando i componenti inutilizzati. Occorre poi controllare eventuali cambiamenti di nome, proprietario o permessi, preferire quando possibile estensioni open source con codice e aggiornamenti pubblici e verificare periodicamente i flussi di rete, alla ricerca di comunicazioni anomale con server esterni.

La verifica deve quindi diventare unattivit ricorrente, non un controllo eseguito soltanto al momento dellinstallazione.

Tecniche di attacco e segnali da controllare

La sicurezza dipende dal controllo continuo

La protezione dalle estensioni malevole richiede un controllo ricorrente, non una verifica limitata al momento dellinstallazione. Anche un componente affidabile pu diventare rischioso dopo un cambio di propriet, un aggiornamento inatteso o una modifica dei permessi.

• Conservare solo le estensioni necessarie, eliminando i componenti inutilizzati.
• Verificare dopo ogni aggiornamento publisher, nome, logo, descrizione e autorizzazioni.
• Rimuovere subito le estensioni sospette e revocare le sessioni attive dai servizi collegati.
• In azienda, bloccare le installazioni non autorizzate e analizzare i log per individuare eventuali comunicazioni anomale.

Ridurre il numero di componenti installati e reagire rapidamente ai cambiamenti anomali limita lesposizione a furti di credenziali, dati aziendali e risorse crypto.