L’app di mascheramento sfrutta anche il “typosquatting” (che crea un semplice errore di battitura) nell’URL.

“Quando si digita ‘pretier’,cosa che gli sviluppatori potrebbero benissimo fare inavvertitamente, la nostra estensione mascherata è l’unico risultato”, aggiunge Goldman.

I ricercatori evidenziano anche preoccupazioni sulla procedura di verifica. Viene visualizzato un segno di spunta blu non per gli autori che sono verificati come chi dicono di essere, come ci si aspetterebbe, ma semplicemente che l’editore ha dimostrato la proprietà di qualsiasi dominio.

I pacchetti dannosi vengono regolarmente caricati su gestori di pacchetti come NPM. Aqua Security rileva la possibilità che gli sviluppatori di estensioni legittimi abbiano il proprio lavoro compromesso utilizzando un pacchetto dannoso come dipendenza.

I risultati di Aqua Security mostrano che è più importante che mai controllare tre volte le estensioni che installi e i pacchetti che stai utilizzando.