Le estensioni dei browser sono un gran comodità, perché arricchiscono il programma di base di numerose, pratiche funzioni, ma bisogna fare molta attenzione a ciò che si installa.

Di recente i ricercatori di Trend Micro hanno scoperto l'ennesima estensione pericolosa per Google Chrome: si basa su un malware conosciuto, noto come FacexWorm, e il suo scopo è intercettare e deviare le transazioni in BitCoin, oltre a sottrarre le credenziali di Facebook.

Il malware in sé è vecchiotto: è apparso per la prima volta nell'agosto del 2017, e nell'aprile del 2018 è riemerso dopo un periodo di attività relativamente contenuta.

Inizialmente, FacexWorm si diffondeva tramite messaggi di phishing inviati tramite Facebook Messenger: con essi cercava di convincere gli utenti a scaricare un'estensione pericolosa per Google Chrome che si spacciava per una Vpn.

Spunti di approfondimento:

Bitcoin, un dilemma etico

Chi ha vinto la scommessa GameStop

Microsoft regala l'antiphishing di Edge a Chrome con un'estesione

Il ransomware nella macchina del caffè: quanto bisogna aver paura?

L'estensione, naturalmente, non ha nulla a che fare con dei codec ma contiene il malware vero e proprio, il quale poi sfrutta Chrome per cercare di sottrarre le credenziali dei siti sui quali l'utente è registrato, con una preferenza particolare per il social network in blu.

Con l'accesso a Facebook, infatti, può postare i suoi messaggi di phishing impersonando l'utente cui ha sottratto nome e password.

Per approfondire:

Mozilla e l'estensione di Mr. Robot installata a tradimento

Submelius, il malware che infetta Google Chrome

Archeoinformatica: Iloveyou, attacco virale storico (2000)

Se la tua fotocopiatrice ti manda una mail, non aprirla con un vecchio Word

Inoltre, come già ricordavamo, il malware modifica le pagine web che gestiscono le transazioni Bitcoin sostituendo l'indirizzo del destinatario con quello del suo creatore, il quale riceve così i pagamenti.

FacexWorm ha un'ultima tecnica di attacco: sui Pc sui quali è installato, redirige ogni ricerca relativa alle criptovalute fatta con il browser verso una pagina che chiede all'utente di versare una certa cifra.

La proposta è questa: in cambio di 0,5 - 10 Ethereum, da inviare «a scopo di verifica», il creatore di malware afferma che ne restituirà tra i 5 e i 100.

Fortunatamente, finora nessuno pare essere caduto in un tranello così scoperto.

Dato che FacexWorm sfrutta delle false estensioni di Chrome per diffondersi, Google s'è attivata per rimuovere rapidamente quelle coinvolte; tuttavia, i creatori del malware sono lesti a introdurne di nuove, dando vita a una caccia senza fine.

Gli utenti faranno quindi bene a porre la massima attenzione nel valutare le estensioni che hanno intenzione di adottare, e anche nell'esaminare i link che vengono loro inviati su Facebook.