https://cyberveille.ch/tags/phantom-second-stage-remote-payload/ Recent content in Phantom Second-Stage Remote Payload on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Thu, 29 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-29-extensions-firefox-malveillantes-imitent-phantom-jupiter-et-bitget-pour-voler-des-cles-crypto/ Thu, 29 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-29-extensions-firefox-malveillantes-imitent-phantom-jupiter-et-bitget-pour-voler-des-cles-crypto/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 27 octobre 2026 par l&rsquo;équipe Threat Research de Socket (source : socket.dev), cet article documente la découverte d&rsquo;un cluster de trois extensions Firefox malveillantes actives sur Firefox Add-ons (AMO) au moment de l&rsquo;analyse, depuis retirées.</p> <h2 id="-usurpation-didentité">🎭 Usurpation d&rsquo;identité</h2> <p>Les extensions imitent trois wallets crypto majeurs via des <strong>homoglyphes Unicode</strong> qui rendent visuellement identiques aux noms légitimes :</p> <ul> <li><strong>Phantom</strong> (add-on ID 3092199, slug <code>ha-օ</code>) : affiche « 𝐏ha𝐧† օ𝗺 », réutilise l&rsquo;icône fantôme officielle et le texte marketing</li> <li><strong>Jupiter</strong> (add-on ID 3092666, slug <code>j-ρi</code>) : se présente comme « Built by Jupiter Exchange »</li> <li><strong>Bitget</strong> (add-on ID 3092059, slug <code>ві-е</code>) : manifest nommé « TabFlow Pro » mais branding Bitget en façade</li> </ul> <p>Chaque listing est publié depuis un compte développeur AMO jetable distinct.</p>