Allarme Rilide, il malware ruba criptovalute tramite estensioni Chrome

Grazie al lavoro di alcuni esperti del settore è stato possibile individuare una nuova versione del malware Rilide, capace di sfruttare i browser basati su Chromium per rubare criptovalute e dati sensibili.

Secondo quanto affermato al sito The Hacker News da Pawel Knapczyk, ricercatore di Trustwave, questo malware "Mostra un livello più elevato di sofisticazione grazie al design modulare, all'offuscamento del codice, all'adozione di Chrome Extension Manifest V3 e funzionalità aggiuntive come la capacità di esfiltrare i dati rubati su un canale Telegram o acquisire schermate con intervalli regolari".

Rilide è stato documentato per la prima volta dalla società di sicurezza informatica nell'aprile 2023, scoprendo due diverse catene di attacchi che utilizzavano Ekipa RAT e Aurora Stealer per distribuire estensioni del browser non autorizzate in grado di rubare dati e criptovalute. Gli esperti hanno notato come questo malware viene venduto sui forum del Dark Web per un corso di 5.000 dollari.

Rilide e la sua evoluzione: criptovalute a rischio

Rilide è dotato di una vasta gamma di funzionalità grazie a cui è in grado di disabilitare altri componenti aggiuntivi del browser, raccogliere cronologia di navigazione e cookie, ottenere credenziali di accesso a vari servizi, acquisire schermate e iniettare script dannosi per prelevare fondi dalla transazioni in criptovaluta.

Secondo Knapczyk "Con la sicurezza in mente, uno dei nuovi importanti miglioramenti è che le estensioni non possono caricare codice JavaScript remoto ed eseguire stringhe arbitrarie" aggiungendo poi "In particolare, tutta la logica deve essere inclusa nel pacchetto di estensione consentendo così il processo di revisione più affidabile ed efficace per le estensioni inviate al Chrome Web Store".

Questa versione "moderna" di Rilide si sta confermando alquanto difficile da arginare. Al momento le principali campagne di questo malware sembrano prendere di mira il territorio australiano e britannico, sfruttando anche alcune app legittime, come AnyDesk, in concomitanza con tattiche di vishing o strategie simili.