🔍 Contexte

Publié le 27 octobre 2026 par l’équipe Threat Research de Socket (source : socket.dev), cet article documente la découverte d’un cluster de trois extensions Firefox malveillantes actives sur Firefox Add-ons (AMO) au moment de l’analyse, depuis retirées.

🎭 Usurpation d’identité

Les extensions imitent trois wallets crypto majeurs via des homoglyphes Unicode qui rendent visuellement identiques aux noms légitimes :

  • Phantom (add-on ID 3092199, slug ha-օ) : affiche « 𝐏ha𝐧† օ𝗺 », réutilise l’icône fantôme officielle et le texte marketing
  • Jupiter (add-on ID 3092666, slug j-ρi) : se présente comme « Built by Jupiter Exchange »
  • Bitget (add-on ID 3092059, slug ві-е) : manifest nommé « TabFlow Pro » mais branding Bitget en façade

Chaque listing est publié depuis un compte développeur AMO jetable distinct.

⚙️ Mécanisme d’attaque

Phantom (loader + second stage) : Un loader dans background/serviceWorker.js reconstruit l’URL C2 depuis un tableau de codes de caractères (phantom[.]bonto[.]io), récupère un payload base64 depuis /config, et l’exécute via eval() dans le monde principal (MAIN world) de chaque onglet. Le flag active côté serveur permet de livrer un payload inerte pendant la revue Mozilla, puis le stealer réel après approbation.

Jupiter et Bitget (bundled stealer) : Le stealer est directement inclus dans le package signé. Il envoie les secrets capturés directement aux sous-domaines C2 correspondants.

Capacités du stealer :

  • Détection de phrases BIP-39 (12, 15, 18, 24 mots)
  • Détection de clés privées EVM et Solana
  • Lecture des inputs/textareas, écoute des événements paste et focusout
  • Scan de grilles de phrases de récupération dans le DOM
  • Hook du provider Solana injecté (window.phantom.solana)
  • Exfiltration via fetch() POST JSON avec fallback XMLHttpRequest

🏗️ Infrastructure

Toute l’exfiltration converge vers des sous-domaines de bonto[.]io (fronté par Cloudflare) :

  • phantom[.]bonto[.]io (delivery + exfiltration)
  • jupiter[.]bonto[.]io (exfiltration)
  • bitget[.]bonto[.]io (exfiltration)
  • coinbase[.]bonto[.]io (provisionné, listings AMO non localisés)
  • exodus[.]bonto[.]io (provisionné, listings AMO non localisés)

💰 Backend drainer (Phantom)

Le package Phantom embarque server.js, un serveur Node.js qui :

  • Logue les secrets dans des fichiers locaux
  • Les transfère à un bot Telegram (token 8834114695:AAGC99--r8KFikBpDw5JCkAteIc4cRi2VTU, chat -5433023573)
  • Sweep automatique vers des adresses hardcodées sur ETH, BSC, Polygon, Arbitrum, Optimism, Base, Avalanche, Solana et Bitcoin

Un fichier server-review.js retourne une config inactive pendant la revue Mozilla (« approval flip »).

📊 Impact

  • Manipulation de notes : le listing Phantom est passé de 275 à 546 avis et de 2,9 à 3,9 étoiles en deux jours
  • Des utilisateurs signalent des pertes de fonds dans les avis une étoile
  • Présence d’un fichier CLAUDE.md (jailbreak prompt IA) suggérant une assistance par IA dans la création du malware

📋 Type d’article

Analyse technique détaillée produite par une équipe de threat research, visant à documenter une campagne active de vol de credentials crypto via des extensions de navigateur malveillantes.

🧠 TTPs et IOCs détectés

TTP

  • T1036 — Masquerading (Defense Evasion)
  • T1176 — Browser Extensions (Persistence)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1620 — Reflective Code Loading (Defense Evasion)
  • T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1555 — Credentials from Password Stores (Credential Access)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1657 — Financial Theft (Impact)

IOC

  • IPv4 : 104.21.34.69 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 172.67.155.198 — AbuseIPDB · VT · ThreatFox
  • Domaines : bonto.io — VT · URLhaus · ThreatFox
  • Domaines : phantom.bonto.io — VT · URLhaus · ThreatFox
  • Domaines : jupiter.bonto.io — VT · URLhaus · ThreatFox
  • Domaines : bitget.bonto.io — VT · URLhaus · ThreatFox
  • Domaines : coinbase.bonto.io — VT · URLhaus · ThreatFox
  • Domaines : exodus.bonto.io — VT · URLhaus · ThreatFox
  • URLs : https://phantom.bonto.io/config — URLhaus
  • URLs : https://phantom.bonto.io/ — URLhaus
  • URLs : https://jupiter.bonto.io/ — URLhaus
  • URLs : https://bitget.bonto.io/ — URLhaus
  • SHA256 : 311c49974f28d33947b8b74d78b48f51855eacac182d519a4fe1daa6af7f30e9 — VT · MalwareBazaar
  • SHA256 : 999bccd41188a238a50d05b5aca8e35af45d107f32d7443389313816f0cb226a — VT · MalwareBazaar
  • SHA256 : fd7b138f4fba003db332a4eee833e84491bf7ffec5a3d91f7451d7b95aabcf6a — VT · MalwareBazaar
  • SHA256 : e688bff5df32f209b4ebb882985e3ad19ddee68666405c39ff523307068a8611 — VT · MalwareBazaar
  • Fichiers : ha-25.6.0.xpi
  • Fichiers : j_i-1.19.2.xpi
  • Fichiers : 3092059-2.21.8.xpi
  • Fichiers : analytics.js
  • Fichiers : background.js
  • Fichiers : hook.js
  • Fichiers : server.js
  • Fichiers : server-review.js
  • Fichiers : bg-init.js
  • Fichiers : CLAUDE.md

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 29 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Phantom Firefox Extension Impersonator (stealer)
  • Jupiter Firefox Extension Impersonator (stealer)
  • Bitget Firefox Extension Impersonator (TabFlow Pro) (stealer)
  • Phantom second-stage remote payload (loader)
  • Drainer backend (server.js) (other)

🟢 Indice de vérification factuelle : 87/100 (haute)

  • ✅ socket.dev — source reconnue (liste interne) (20pts)
  • ✅ 18686 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 26 IOCs dont des hashes (15pts)
  • ✅ 2/11 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (12pts)
  • ✅ 9 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • bonto.io (domain) → VT (7/92 détections)
  • phantom.bonto.io (domain) → VT (6/92 détections)

🔗 Source originale : https://socket.dev/blog/firefox-wallet-impersonators