Campagna 'Superior': 19 estensioni nei store Google e Microsoft trasformate in

Socket, vendor di sicurezza specializzato in supply-chain software, ha identificato 19 estensioni browser malevole distribuite attraverso il Chrome Web Store e l'Edge Add-ons Store. La campagna, denominata 'Superior' dai ricercatori, ha infettato un install base complessivo di quasi 80.000 utenti attraverso un meccanismo insidioso: l'acquisizione di estensioni legittime e la loro conversione via aggiornamento automatico in piattaforme di esfiltrazione dati. L'evidence tecnica raccolta da Socket indica attività continua da febbraio 2024, con un'operatività protratta per oltre due anni.

Il trust ereditato come arma: acquisizione e weaponizzazione silenziosa

Il threat actor ha costruito la propria infrastruttura su un principio di economia offensiva. Quattordici estensioni sono state create ex novo; cinque sono state acquisite da sviluppatori legittimi, con una base di utenti già consolidata. Questa dualità è funzionale: le estensioni acquisite ereditano recensioni positive, ranking nei risultati di ricerca e comportamenti di installazione routinari che l'utente finale non interrompe.

La conversione avviene attraverso il meccanismo di aggiornamento automatico integrato in Chrome e Edge. Quando il threat actor pubblica una nuova versione dell'estensione acquisita, il browser la installa senza interazione esplicita. Il codice malevolo si attiva nel contesto privilegiato dell'estensione, con accesso alle schede aperte, ai cookie, allo storage locale e alle API del browser. Secondo il ricercatore Socket Karlo Zanki: "The biggest risk for end-users is the operational technique in which the threat actor successfully acquires legitimate extensions and releases new versions empowered with malicious functionality".

Zanki aggiunge: "That approach, combined with Chrome's default extension update settings, performs auto-updating to the latest version of extension, providing the threat actor with a powerful vector to maximize the impact and reach of the extension acquisition". Il risultato è che l'utente che aveva installato un'utility legittima per abilitare il tasto destro o per gestire password si ritrova con un agente di esfiltrazione attivo nel proprio profilo browser.

Framework a 16 moduli: architettura modulare e C2 WebSocket con rotazione

Il payload non è un infostealer monolitico ma un framework loader progettato per essere "highly extensible", come documenta Socket. Sedici moduli distinti operano in coordinazione, ciascuno con un target specifico. I moduli identificati includono: draining di wallet EVM, Solana e Tron; phishing di seed phrase con interfaccia fake Ledger e Trezor; furto di sessioni attive su Coinbase, Binance, Kraken, OKX, MEXC, KuCoin, Bybit e MetaMask; registrazione di credenziali e compilazione form; harvesting di account Facebook e LinkedIn; e un modulo ClickFix che inietta falsi aggiornamenti browser con istruzioni OS-specifiche per eseguire comandi malevoli copia-incollati dall'utente.

La comunicazione con il server di comando e controllo avviene tramite WebSocket crittografato. Un elemento tecnicamente rilevante è la rotazione degli endpoint C2: il framework riceve dal server iniziale le istruzioni per spostarsi su un nuovo nodo, distribuendo le vittime su infrastrutture dedicate. Zanki nota: "Worth noting is that the loading framework supports rotation of the C2 endpoint based on instructions received from the initial C2 server and this behavior has been observed in the wild". E aggiunge: "That functionality enables threat actors to distribute victims to different groups and dedicated C2 infrastructure and to reduce the detection risk".

Il framework rimuove inoltre gli header Content Security Policy (CSP) da ogni pagina visitata, annullando una delle difese standard del web moderno. L'iniezione di script malevoli avviene tramite elementi HTML nascosti, con content scripts che operano nel contesto delle pagine target. La combinazione di rotazione C2, canali di esfiltrazione per-vittima e rimozione CSP rende il rilevamento network-based estremamente difficile: il traffico apparente è una connessione WebSocket legittima verso un dominio che cambia, e l'esfiltrazione si fonde con il normale flusso HTTP della pagina compromessa.

"The biggest risk for end-users is the operational technique in which the threat actor successfully acquires legitimate extensions and releases new versions empowered with malicious functionality" — Karlo Zanki, Socket security researcher

La falla strutturale degli store: aggiornamenti non riesaminati e trasparenza assente

Il caso 'Superior' espone un deficit di governance nei marketplace di estensioni. Le procedure di review del Chrome Web Store e dell'Edge Add-ons Store sono progettate per il momento della pubblicazione iniziale, non per ogni aggiornamento successivo. Un'acquisizione di proprietà tra sviluppatori non genera notifiche agli utenti installati; il cambio di account publisher, anche quando comporta un trasferimento di accesso a migliaia di utenti, passa in silenzio.

Google ha rimosso le 18 estensioni Chrome identificate da Socket al momento della pubblicazione del report. La versione Edge, unica nel suo genere nel campione, rimaneva disponibile nell'Edge Add-ons Store alla stessa data. Questa asincronia tra i due store ufficiali — entrambi controllati da Big Tech con risorse di sicurezza considerevoli — indica che il problema non è di capacità analitica ma di design procedurale. Le estensioni corporate, gestite spesso con policy permissive che consentono l'installazione da store ufficiali senza whitelist specifiche, amplificano il rischio in ambienti aziendali.

Non è la prima volta che questo vettore viene sfruttato. Socket documenta che DomainTools Investigations aveva osservato aspetti correlati della campagna già a maggio 2025; Annex Security e monxresearch-sec avevano segnalato l'estensione QuickLens all'inizio del 2026. La campagna ha operato per oltre due anni con tecniche riconoscibili, senza che i controlli automatizzati degli store interrompessero la catena di aggiornamenti malevoli.

Cosa fare adesso

Socket ha pubblicato l'elenco completo degli ID estensioni e dei domini C2 associati. Gli utenti che avevano installato utility di produttività, gestione password o strumenti di accessibilità nei mesi precedenti dovrebbero verificare la presenza degli ID indicati nel report. La rimozione di un'estensione compromessa interrompe l'esfiltrazione ma non mitiga eventuali dati già raccolti.

Le organizzazioni che gestiscono fleet browser tramite Microsoft Endpoint Manager o Google Admin Console possono bloccare l'installazione automatica di aggiornamenti per le estensioni non in whitelist, o rivocare specifici ID dal catalogo aziendale. Il controllo efficace richiede il passaggio da policy permissive a modelli di allow-listing, con review periodica delle estensioni installate anche quando provengono da store verificati.

Per gli utenti individuali, la verifica manuale delle estensioni attive nel proprio profilo browser è il passaggio immediato. La presenza di utility installate mesi o anni prima, anche con recensioni positive al momento dell'installazione, non garantisce la sicurezza attuale: il codice che esegue oggi è quello dell'ultimo aggiornamento, non quello della versione originale.

L'incidente non richiede azioni specifiche da parte di Google o Microsoft oltre alla rimozione già effettuata o in corso; il dossier non documenta patch software, aggiornamenti di sicurezza del browser o modifiche proceduralle annunciate dai vendor.

Perché questo cambia la percezione del rischio browser

La campagna 'Superior' inverte la logica tradizionale del threat model utente. Non serve più convincere la vittima a installare software dubbio: basta acquisire ciò che già ha installato. L'estensione legittima diventa trojan senza che il concetto di "installazione sospetta" abbia ancora senso. Il perimetro di difesa si sposta dall'endpoint al marketplace, dal momento dell'installazione a ogni singolo aggiornamento successivo.

Il settore della sicurezza browser deve confrontarsi con un problema di incentive design. Gli store guadagnano dalla quantità di estensioni e dalla fluidità dell'aggiornamento; la verifica continua è un costo. Fino a quando i cambi di proprietà rimarranno opachi e gli aggiornamenti non riesaminati, il vettore 'Superior' resta riproducibile da qualsiasi threat actor con capitale sufficiente per acquistare estensioni consolidate. Il trust che gli utenti concedono alle piattaforme ufficiali è, in questo caso, il punto di ingresso.

Fonti

• https://www.bleepingcomputer.com/news/security/chrome-web-store-extensions-caught-stealing-crypto-browser-data/
• https://thehackernews.com/2026/08/19-chrome-and-edge-extensions-found.html
• https://www.tradingview.com/news/u_today:461838749094b:0-chrome-extensions-caught-stealing-crypto-wallets/
• https://www.bleepingcomputer.com/
• https://www.bleepingcomputer.com/tutorials/
• https://www.bleepingcomputer.com/download/
• https://deals.bleepingcomputer.com/
• https://www.bleepingcomputer.com/vpn/