VKSECURITY 19 extensões de navegador roubando senha e carteira: o perigo que sua equipe instala sozinha
Dezenove extensões do Chrome e do Edge foram flagradas roubando carteiras de criptomoeda, senhas e sessões. O truque: elas nasceram limpas, ganharam a confiança dos usuários e só depois, por atualização, viraram ladras. Uma delas chegou a 80 mil instalações.
A extensão de navegador é um dos softwares mais instalados e menos pensados que existem. A pessoa vê “adicionar ao Chrome”, clica, dá as permissões sem ler e segue a vida. Multiplicado por uma equipe inteira, isso vira uma superfície de ataque que quase ninguém administra — e a pesquisa que a Socket publicou esta semana mostra por quê.
O esquema: ganhar confiança e depois trair
Os pesquisadores encontraram 19 extensões maliciosas — 18 no Chrome e 1 no Edge — numa operação que batizaram de Superior. O mecanismo é o que torna o caso instrutivo: as extensões não nasceram maliciosas.
Os criminosos usaram duas táticas. Em 14 casos, criaram extensões úteis de verdade e as publicaram limpas, deixando os usuários instalarem e os números de download crescerem. Nos outros 5, foram mais diretos: compraram extensões legítimas de desenvolvedores que já tinham base de usuários. Em ambos os caminhos, uma vez estabelecida a confiança, publicavam uma atualização — e é nela que o código malicioso entrava, chegando automaticamente a todo mundo que já tinha a extensão instalada.
Uma delas, chamada “Enable Right Click & Copy” (para reabilitar o botão direito em sites que o bloqueiam), acumulou cerca de 80 mil instalações antes de ser removida.
O que elas roubavam
O código embutido mirava coisas de valor imediato:
- Frases-semente de carteiras de criptomoeda — a sequência de palavras que dá controle total sobre os fundos. As extensões suportavam várias redes (Ethereum, Solana, Tron) e chegavam a imitar as telas de recuperação da Ledger e da Trezor (duas marcas de carteira física) para enganar a vítima e capturar essas palavras.
- Credenciais de corretoras de cripto e de outros serviços.
- Histórico de navegação e dados de formulário — o que a pessoa digita.
- Sessões ativas, permitindo ao criminoso se passar pelo usuário já logado.
O Google removeu a versão maliciosa da Chrome Web Store, mas a do Edge seguiu ativa por mais tempo, com os atacantes atualizando a infraestrutura de controle em meados de agosto.
Por que isso é problema da empresa, não só do usuário
É fácil ler “roubo de carteira de cripto” e concluir que não te afeta. Mas repare no resto da lista: senha, sessão e o que a pessoa digita. Uma extensão com essas permissões, instalada no navegador de trabalho de um funcionário, enxerga o que ele acessa — o webmail corporativo, o sistema interno, o painel administrativo. A carteira de cripto é o alvo mais lucrativo; a credencial da sua empresa é o dano colateral.
E o mecanismo do ataque desarma a defesa mais comum. “Só instale extensões conhecidas e bem avaliadas” é um conselho que não teria protegido ninguém aqui — as extensões eram conhecidas e bem avaliadas, exatamente até a atualização que as virou. A confiança foi construída para depois ser explorada.
O que funciona é mais estrutural, e vale a pena tratar como política, sem drama:
- Saber o que está instalado. A maioria das empresas não tem ideia de quais extensões rodam nos navegadores da equipe. Dá para levantar isso.
- Limitar a instalação livre nos perfis de trabalho, ou ao menos manter uma lista do que é permitido — os navegadores corporativos suportam esse controle.
- Tratar extensão como software, não como enfeite. Ela roda dentro do navegador, onde passa quase tudo que importa hoje. Merece o mesmo critério que a empresa aplicaria a um programa que fosse instalar nos computadores.
Ninguém instalou essas 19 extensões achando que eram um vírus. Instalaram porque eram úteis — e continuaram úteis enquanto roubavam.
Fontes
- Socket — investigação da campanha “Superior” (Karlo Zanki), via The Hacker News (28/08/2026): thehackernews.com
