Una operación maliciosa que emplea extensiones para los navegadores Chrome y Firefox ha sido detectada, apuntando directamente a usuarios de activos digitales. Estos complementos se aprovechan de sesiones ya iniciadas para sustraer datos de cuentas, claves de acceso e información relacionada con billeteras de criptomonedas.
Seis complementos señalados por el equipo de Socket
Investigadores de amenazas de Socket identificaron seis complementos vinculados a esta campaña mediante patrones compartidos y ataques dirigidos a plataformas de intercambio de criptomonedas. Entre las herramientas señaladas se encuentran Axiom Trade, Terminal, J7Tracker y VREO para Chrome, así como VREO y Orbit Tracker para Firefox. Según el informe, tanto J7Tracker como las dos versiones de VREO contienen el mismo componente dañino, diseñado para recopilar información de usuarios que ya habían accedido a sus cuentas. Los datos extraídos incluyen detalles de perfil, tokens de acceso e información de billeteras, que luego son enviados a servidores controlados por los atacantes.
En el caso de Axiom Trade y Terminal, el código peligroso extrae el historial de publicaciones y enlaza herramientas de trading clonadas. Orbit Tracker apareció semanas después en Firefox con una implementación diferente, pero con el mismo propósito: acceder a datos del equipo, cookies y tokens del navegador para obtener información de cuentas.
Antecedentes de la campaña
Socket también relacionó esta operación con dos complementos previos de Chrome: GhostApe y GhostApe Color. La investigación sostiene que GhostApe simula ser una versión modificada de una extensión legítima de comercio, y que ambos comparten elementos que los conectan al mismo grupo de editores. El principal peligro para los usuarios radica en que estos complementos pueden actuar mientras la víctima mantiene una sesión abierta, lo que permite a los ciberdelincuentes obtener información sensible que facilita el acceso no autorizado a cuentas y compromete operaciones con activos digitales.
Recomendaciones y estado actual
De acuerdo con Socket, las cuatro extensiones relacionadas con Chrome habrían sido eliminadas en julio de 2027. Sin embargo, al momento de la investigación, Orbit Tracker aún estaba disponible para Firefox. El equipo recomienda eliminar todos los complementos sospechosos de los navegadores, revisar la actividad de las billeteras y verificar operaciones recientes para detectar movimientos indebidos. La advertencia subraya un riesgo que va más allá de instalar una extensión maliciosa: cuando el navegador se utiliza para gestionar cuentas y activos digitales, se exponen datos sensibles, por lo que es crucial examinar con cuidado las páginas web, extensiones y navegadores empleados.