{"id":234171,"date":"2026-09-09T03:30:45","date_gmt":"2026-09-09T10:30:45","guid":{"rendered":"https:\/\/www.mcafee.com\/blogs\/?p=234171"},"modified":"2026-09-09T03:30:45","modified_gmt":"2026-09-09T10:30:45","slug":"crypto-clipper-browser-extensie-malware-wallet-verwisseling","status":"publish","type":"post","link":"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/","title":{"rendered":"Stille verwisseling: een campagne rond de Crypto Clipper-extensie"},"content":{"rendered":"

Geschreven door Neil Tyagi<\/em><\/p>\n

Samenvatting<\/span><\/b>\u00a0<\/span><\/h2>\n

McAfee Advanced Threat Research heeft een actieve campagne met browserextensies ontdekt die bedoeld is om cryptovaluta te stelen door walletadressen onopgemerkt te vervangen op het moment dat een gebruiker een transactie in gang zet<\/strong>. De campagne wordt uitgevoerd via niet-ondertekende installatieprogramma\u2019s, waargenomen in zowel .NET- als Go-varianten. Deze programma’s installeren een kwaadaardige Chromium-extensie die zich voordoet als het onschuldige hulpprogramma Google Notes. <\/span><\/p>\n

Deze campagne houdt verband met\u00a0de eerder door\u00a0McAfee\u00a0Labs gepubliceerde blog\u00a0<\/span>Sinkholing CountLoader: Insights into Its Recent Campaign<\/span><\/i>.<\/span><\/a>\u00a0Kennelijk gaat achter beide campagnes dezelfde crimineel schuil<\/span>.<\/span>\u00a0In dat eerdere onderzoek hebben we een cryptoclipper-payload geanalyseerd die rechtstreeks in het geheugen was ge\u00efnjecteerd. Hier onderzoeken we een andere variant van de payload in de laatste fase: een kwaadaardige browserextensie die is ontworpen om transacties in cryptovaluta te onderscheppen en te manipuleren.\u00a0<\/span>\u00a0<\/span><\/p>\n

In dit rapport beschrijven we in detail hoe de extensie werkt en geven we een technische analyse van de mechanismen die deze bedreiging zo bijzonder maken. De extensie functioneert als een cryptoclipper die op het klembord is gericht. De malware houdt kopieer- en plakactiviteiten in de gaten, identificeert walletadressen op meerdere blockchains en vervangt deze door adressen die door de aanvaller worden beheerd, net voordat het slachtoffer de content plakt. Aangezien de meeste blockchain-transacties onomkeerbaar zijn, is \u00e9\u00e9n enkele ononderbroken uitvoering zelfs al genoeg om blijvende financi\u00eble schade aan te richten.<\/span>\u00a0<\/span><\/p>\n

Er zijn twee kenmerken waarmee deze campagne zich onderscheidt van de gebruikelijke clipper-dreiging:<\/span>\u00a0<\/span><\/p>\n

    \n
  1. Misbruik van de vertrouwenslaag van Chromium.<\/span><\/b>\u00a0<\/span><\/b>Het installatieprogramma installeert heimelijk een kwaadaardige browserextensie in op Chromium gebaseerde browsers, zoals Google Chrome, Brave en Microsoft Edge, door beveiligde instellingenbestanden van de browser te wijzigen. Normaal gesproken worden beveiligingsverificatiegegevens (hash-\/HMAC-waarden) samen met gevoelige instellingen door deze browsers opgeslagen om ongeoorloofde wijzigingen te detecteren<\/span>.<\/span><\/b>\u00a0<\/span><\/b>De malware berekent deze beveiligingswaarden opnieuw en werkt ze bij nadat de bestanden zijn gemanipuleerd, waardoor de browser wordt misleid en denkt dat de kwaadaardige extensie op legitieme wijze is ge\u00efnstalleerd. Hierdoor kan de extensie het normale installatieproces voor extensies via de Web Store omzeilen en zonder toestemming van de gebruiker ongemerkt worden geladen. Bij de nieuwste versies van Chrome en Edge moet het slachtoffer echter handmatig de ontwikkelaarsmodus inschakelen om de extensie correct te laden. Gebruikers met een verouderde versie van een op Chromium gebaseerde browser lopen echter nog steeds een groot risico. Bovendien kunnen aanvallers ook bij de nieuwste versies gebruikmaken van social engineering-tactieken om de ontwikkelaarsmodus in te schakelen.<\/span><\/li>\n
  2. Command-and-control (C2) via blockchain<\/strong>. De extensie bevat geen hardcoded C2-domein. In plaats daarvan voert het een verzoek uit naar een RPC-eindpunt van een openbare blockchain, roept het een alleen-lezen smartcontractmethode aan en decodeert het de response tijdens runtime om de actieve C2-server te onthullen. Op het moment van de analyse werd deze waargenomen als<\/span>Zebregts[.]com.<\/span> Deze techniek, vaak aangeduid als EtherHiding<\/strong>, bemoeilijkt de inspanningen om de infrastructuur uit te schakelen, omdat de aanvaller de infrastructuur kan wisselen door een waarde in het smartcontract bij te werken in plaats van de malware opnieuw te implementeren.<\/span>\u00a0<\/span><\/li>\n<\/ol>\n

    Uit de telemetriegegevens van McAfee\u00a0<\/span>blijkt dat<\/span>\u00a0de infectie wereldwijd verspreid is, met een opvallende concentratie in India. De geografische spreiding wijst erop dat er sprake is van\u00a0<\/span>een opportunistische<\/span> benadering van consumenten die cryptovaluta gebruiken. Het gaat dus niet om een regiospecifieke campagne.<\/span><\/span>\u00a0<\/span><\/p>\n

    Geografische verspreiding<\/span><\/span>\u00a0\u00a0<\/span><\/h2>\n
    \"Een
    Uit ons onderzoek blijkt dat dit de zwaarst getroffen regio\u2019s ter wereld zijn.<\/figcaption><\/figure>\n

    Uit telemetrie-analyses <\/span>blijkt<\/span>\u00a0dat\u00a0<\/strong><\/span><\/span>de infecties wereldwijd verspreid zijn<\/span><\/span><\/strong>, waarbij in India\u00a0<\/span><\/span>een aanzienlijk hogere concentratie\u00a0<\/span>wordt waargenomen<\/span>\u00a0dan in<\/span><\/span>\u00a0andere regio’s.\u00a0<\/span><\/span>\u00a0<\/span><\/p>\n

    De wijdverspreide geografische aanwezigheid onderstreept het brede bereik van de campagne, wat wijst op een opportunistische aanpak in plaats van een regiospecifieke aanval.<\/span><\/span>\u00a0<\/span><\/p>\n

    De schadelijke extensie Google Notes<\/span><\/span>\u00a0<\/span><\/h2>\n

    Deze malware doet zich voor als een <\/span>ogenschijnlijk onschuldige <\/span>Google Notes-extensie.<\/span><\/span> \"De Figuur 1: Deze afbeelding toont de kwaadaardige extensie die centraal staat in deze campagne<\/em><\/p>\n

    De ge\u00efnstalleerde extensie doet zich voor als een minimalistische, legitiem ogende notitie-app, ‘Google Notes’ genaamd, compleet met een strak pictogram en een functionele (en eenvoudige) gebruikersinterface. <\/span>\u00a0<\/span><\/p>\n

    De dekmantel is goed doordacht: een gebruiker die de extensie handmatig opent, ziet dat deze zich gedraagt zoals geadverteerd, waardoor eventuele argwaan wordt verminderd. De kwaadaardige logica van de extensie is ge\u00efmplementeerd in service-worker-scripts en content-scrips die op de achtergrond draaien en volledig buiten het zicht van de gebruikersinterface worden uitgevoerd.<\/span>\u00a0<\/span><\/p>\n

    Een\u00a0belangrijke waarschuwing\u00a0doet zich voor het eerst voor bij het toevoegen van de extensie, wanneer om\u00a0<\/span><\/b>beveiligings-<\/span><\/b>\u00a0<\/span><\/b>en toegangsrechten<\/span><\/b>\u00a0wordt gevraagd die niet in verhouding<\/span><\/b>\u00a0staan tot een\u00a0<\/span><\/b>doorsnee\u00a0<\/span><\/b>notitie-app<\/span><\/b>:\u00a0<\/span><\/p>\n

      \n
    • Toegang tot alle URL\u2019s, waardoor het mogelijk wordt om op elke website die de gebruiker bezoekt content-scripts te injecteren.<\/span>\u00a0<\/span><\/li>\n
    • Toegang tot de browsegeschiedenis.<\/span>\u00a0<\/span><\/li>\n
    • Lees- en schrijftoegang tot het klembord.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

      Risicobeperking en aanbevelingen<\/span>\u00a0<\/span><\/h2>\n

      Voor consumenten<\/span>\u00a0<\/span><\/h3>\n
        \n
      1. Controleer voordat je een transactie in cryptovaluta bevestigt, of\u00a0de eerste en laatste zes tekens van het adres van de\u00a0ontvanger<\/span><\/b>\u00a0overeenkomen met de oorspronkelijke bron. Doe dit bij voorkeur op een ander apparaat.\u00a0Deze ene gewoonte voorkomt het overgrote deel van de clipper-aanvallen.<\/span>\u00a0<\/span><\/li>\n
      2. Installeer browserextensies uitsluitend via de offici\u00eble Chrome Web Store<\/span><\/b>, de Microsoft Edge Add-ons Store of een vergelijkbare store. Bekijk de lijst met ge\u00efnstalleerde extensies en beschouw extensies waarvan je niet zeker weet of je die hebt ge\u00efnstalleerd als verdacht.<\/span>\u00a0<\/span><\/li>\n
      3. Controleer de machtigingen die aan elke ge\u00efnstalleerde extensie zijn toegekend<\/span><\/b>. Een notitie-app hoeft geen toegang te hebben tot alle websites, de browsegeschiedenis of het klembord.<\/span>\u00a0<\/span><\/li>\n
      4. Vermijd het uitvoeren van niet-ondertekende uitvoerbare bestanden<\/span><\/b> die afkomstig zijn van onbetrouwbare bronnen, met name bronnen die gratis of gekraakte versies van betaalde software aanbieden – een veelgebruikte distributiemethode voor dit type installatieprogramma’s.<\/span>\u00a0<\/span><\/li>\n
      5. Zorg ervoor dat de eindpuntbeveiliging up-to-date en ingeschakeld is<\/span><\/b>; klanten van McAfee zijn beschermd tegen deze specifieke campagne, zoals hieronder wordt beschreven.<\/span>\u00a0<\/span><\/li>\n<\/ol>\n

        De McAfee Security-oplossingen bieden gebruikers bescherming op verschillende niveaus:<\/span>\u00a0<\/span><\/h3>\n

        1. McAfee detecteert de bedreiging als CryptoStealer.NE en zorgt ervoor dat zijn klanten veilig blijven<\/span><\/b>\u00a0<\/span><\/h4>\n
        \"Figuur
        Figuur 2: Deze afbeelding toont hoe McAfee Antivirus deze bedreiging voor consumenten blokkeert.<\/em><\/figcaption><\/figure>\n

        2. Bescherming tegen kwaadaardige downloads<\/span><\/b><\/h4>\n

        Het gedrag van het installatieprogramma (het downloaden en uitvoeren van externe payloads) wordt door McAfee gesignaleerd en geblokkeerd voordat de infectie is voltooid.<\/span>\u00a0<\/span>In onze tests worden alle kwaadaardige domeinen en URL\u2019s door McAfee geblokkeerd.<\/span>\u00a0<\/span><\/p>\n

        3. Netwerkbescherming<\/span><\/b><\/h4>\n

        Verbindingen met bekende kwaadaardige infrastructuur (C2-servers) worden door McAfee geblokkeerd, waardoor het ophalen van walletadressen wordt verhinderd.<\/span>\u00a0<\/span><\/p>\n

        4. Realtime informatie over bedreigingen<\/span><\/b><\/h4>\n

        Aangezien deze bedreiging in de telemetriegegevens van McAfee is vastgesteld, kunnen er snel beveiligingsmaatregelen worden ingezet om de volgende acties uit te voeren:<\/span>\u00a0<\/span><\/p>\n

          \n
        • Soortgelijke varianten blokkeren<\/span>\u00a0<\/span><\/li>\n
        • Bijbehorende infrastructuur detecteren<\/span>\u00a0<\/span><\/li>\n
        • Klanten wereldwijd beschermen<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

          Hoe de bedreigingscampagne werkt<\/span><\/span>\u00a0<\/span><\/h1>\n

          Wat de malware doet<\/span>\u00a0\u00a0<\/span><\/h2>\n
            \n
          1. Installeert een <\/span>browserextensie zonder dat de gebruiker dit merkt (sideloading van webextensies)<\/span>\u00a0<\/span><\/li>\n
          2. Houdt bij wat je kopieert en plakt (met name crypto-adressen)<\/span>\u00a0<\/span><\/li>\n
          3. Werkt wanneer je een cryptotransactie uitvoert<\/span>\u00a0<\/span><\/li>\n
          4. Vervangt stilletjes het adres van de wallet door het adres van de aanvaller<\/span>\u00a0<\/span><\/li>\n
          5. Stuurt uw geld naar de aanvaller in plaats van de beoogde ontvanger<\/span>\u00a0<\/span><\/li>\n<\/ol>\n

            Aangezien transacties in cryptovaluta doorgaans\u00a0<\/span>onomkeerbaar<\/span><\/b> zijn<\/strong>, kunnen slachtoffers hun geld definitief kwijtraken.<\/strong><\/span>\u00a0<\/strong><\/p>\n

            \"Figuur
            Figuur 3: Hoe de extensie werkt (in een notendop)<\/em><\/figcaption><\/figure>\n

            Belangrijkste ge\u00efdentificeerde gedragingen<\/span><\/span>\u00a0<\/span><\/h2>\n

            1. Stille installatie van de extensie<\/span><\/span>\u00a0<\/span><\/h3>\n

            De malware maakt geen gebruik van de offici\u00eble browser store. In plaats daarvan wijzigt het rechtstreeks de browserbestanden, zodat het lijkt alsof de extensie is ge\u00efnstalleerd (browserextensie via sideloading).<\/span><\/p>\n

            Hiermee worden de gebruikelijke beveiligingswaarschuwingen en de aandacht van de gebruiker omzeild.<\/span>\u00a0<\/span><\/span>\"<\/span <\/span><\/p>\n

            2. Volledige toegang tot de browser<\/span><\/span>\u00a0<\/span><\/h3>\n
            \"Figuur
            Figuur 5: Vereiste machtigingen voor Chrome-extensie<\/em><\/figcaption><\/figure>\n

             <\/p>\n

             <\/p>\n

            \"Figuur
            Figuur 6: Manifestbestand voor webextensie<\/em><\/p>\n

            De kwaadaardige extensie vraagt om buitensporige machtigingen, zoals:<\/span>\u00a0<\/span><\/figcaption><\/figure>\n

             <\/p>\n

              \n
            • \n
                \n
              • Toegang tot alle websites<\/span>\u00a0<\/span><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n

                 <\/p>\n

                  \n
                • \n
                    \n
                  • Lezen van de browsegeschiedenis<\/span>\u00a0<\/span><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n

                     <\/p>\n

                      \n
                    • \n
                        \n
                      • Lezen en wijzigen van de inhoud van het klembord<\/span>\u00a0<\/span><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n

                         <\/p>\n

                         <\/p>\n

                        3. Onderscheppen van crypto-adressen<\/span><\/b><\/h3>\n

                        De extensie bevat logica om walletadressen van verschillende cryptovaluta te detecteren, waaronder:<\/span> \"Figuur Figuur 7: Hardcoded reguliere expressies voor cryptovaluta en fallback-adressen<\/em><\/span><\/p>\n

                          \n
                        • De in de code weergegeven fallback-walletadressen worden niet bij elke transactie gebruikt; ze dienen als back-upmechanisme wanneer het dynamisch ophalen van adressen van de door de aanvaller beheerde server mislukt.\u00a0<\/span>\u00a0<\/span><\/li>\n
                        • Bij normaal gebruik haalt de extensie vervangende adressen op van een externe server, waardoor een dynamische en mogelijk per slachtoffer afgestemde toewijzing van wallets mogelijk wordt.\u00a0<\/span>\u00a0<\/span><\/li>\n
                        • Fallback-adressen zorgen ervoor dat de aanval blijft functioneren, zelfs als de command-and-control-infrastructuur tijdelijk niet beschikbaar of geblokkeerd is.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                          \"Figuur
                          Figuur 8: Kwaadaardige extensie die dynamische resolutie van crypto-adressen uitvoert<\/em><\/figcaption><\/figure>\n
                            \n
                          • Deze functie is bedoeld om het door de aanvaller beheerde vervangende walletadres te verkrijgen dat overeenkomt met het oorspronkelijke adres van het slachtoffer.\u00a0<\/span>\u00a0<\/span><\/li>\n
                          • Het onderschepte walletadres wordt naar de backend van de aanvaller gestuurd en de response wordt gebruikt om het oorspronkelijke adres dynamisch te vervangen.\u00a0\u00a0<\/span>\u00a0<\/span><\/li>\n
                          • Als het backend-verzoek mislukt, schakelt de functie over op een vooraf gedefinieerd, hardcoded walletadres, waardoor de kwaadaardige activiteiten zonder onderbreking kunnen doorgaan.<\/span>\u00a0<\/span><\/li>\n
                          • 3J98t1Wxxxx is het adres dat naar het klembord is gekopieerd.<\/span><\/li>\n<\/ul>\n

                            4<\/span>.\u00a0<\/span>Detectie ontwijken en verborgen blijven<\/span><\/span>\u00a0<\/span><\/h3>\n
                            \"Figuur
                            Figuur 8: Het bestand Settings.js met de configuratie<\/em><\/figcaption><\/figure>\n
                              \n
                            • De configuratie bevat een hardcoded API-sleutel, die door de extensie wordt gebruikt om de communicatie met de door de aanvaller beheerde infrastructuur te verifi\u00ebren.\u00a0<\/span>\u00a0<\/span><\/li>\n
                            • Er wordt gebruikgemaakt van een RPC-URL die naar een openbaar blockchain-knooppunt verwijst om de gegevens van de backend-server dynamisch te bepalen, waardoor de aanvaller kritieke infrastructuur achter gedecentraliseerde systemen kan verbergen.\u00a0.\u00a0<\/span>\u00a0<\/span><\/li>\n
                            • Het feit dat er een smartcontract-adres en -methode zijn opgenomen, wijst erop dat de malware het command-and-control-domein (C2) indirect via blockchain-query\u2019s opvraagt, waardoor het opsporen en uitschakelen ervan bemoeilijkt wordt.<\/span>\u00a0<\/span><\/li>\n
                            • De zwarte lijst met domeinen bevat een reeks websites die gerelateerd zijn aan blockchain-inspecties. Op deze sites zal de webextensie niet werken om te voorkomen dat slachtoffers worden gewaarschuwd terwijl ze het eigen adres invoeren (plakken) om het saldo of de transacties in hun wallet te bekijken.\u00a0<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                              \"Figuur
                              Figuur 9: Het C2-domein van de aanvaller achterhalen via een Ethereum-smartcontract (etherhiding)<\/em><\/figcaption><\/figure>\n
                              \"Figuur
                              Figuur 10: Request-payload met Ethereum-contractadres<\/em><\/figcaption><\/figure>\n
                                \n
                              • Uit dynamische analyse is gebleken dat de malware het command-and-control-domein bepaalt via een smartcontract op de blockchain, waarbij tijdens runtime het domein\u00a0<\/span>devops-offensive[.]cc<\/span><\/i><\/b>\u00a0wordt geretourneerd.\u00a0<\/span>\u00a0<\/span><\/li>\n
                              • De response van de blockchain wordt tijdens runtime gedecodeerd, waarna het actieve C2-domein (devops-offensive.cc) zichtbaar wordt.\u00a0<\/span>\u00a0<\/span><\/li>\n
                              • Dit domein is niet hardcoded, waardoor de aanvaller de infrastructuur kan bijwerken zonder de malware aan te passen.\u00a0<\/span>\u00a0<\/span><\/li>\n
                              • Het opgezochte domein wordt lokaal in de cache opgeslagen om de persistentie te waarborgen en herhaalde netwerkverzoeken te beperken.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                \"Figuur
                                Figuur 11: Deze afbeelding toont de long-encoded string met het kwaadaardige domein<\/em><\/figcaption><\/figure>\n

                                Deze long-encoded<\/span><\/span>–<\/span><\/span><\/span>string wordt met behulp van deze\u00a0<\/span>functie<\/span> gedecodeerd waarna het uiteindelijke domein van de aanvaller wordt verkregen.<\/span><\/span><\/p>\n

                                \"Figuur
                                Figuur 12: Deze afbeelding toont het uiteindelijke domein van de aanvaller:<\/em><\/figcaption><\/figure>\n

                                Technieken voor persistentie en ontwijking<\/span><\/span>\u00a0<\/span><\/h2>\n

                                De persistentie- en\u00a0<\/span>ontwijkingstechnieken<\/span>\u00a0van de campagne zijn doelbewust en gelaagd opgebouwd. De aanvaller heeft duidelijk <\/span>geoptimaliseerd<\/span> op twee aspecten: een lage zichtbaarheid voor de eindgebruiker en een hoge bestendigheid tegen uitschakeling en statische analyse.<\/span><\/span>\u00a0<\/span><\/p>\n

                                Persistentie<\/span>\u00a0<\/span><\/h3>\n
                                  \n
                                • Door de registratie van de extensie te manipuleren via de Secure Preferences wordt de extensie bij elke volgende start van de browser geladen, zonder dat er een aanvullend Windows-mechanisme voor persistentie nodig is: <\/span>geen Run-sleutels in het Windows-register en geen geplande taken of services die doorgaans door eindpunt-onderzoekers worden gecontroleerd.<\/span><\/i><\/b>\u00a0<\/span><\/li>\n
                                • De ontwikkelaarsmodus wordt waar nodig programmatisch ingeschakeld, waardoor niet-verpakte extensies behouden blijven zonder dat de periodieke ‘waarschuwing voor niet-verpakte extensies’ wordt geactiveerd die Chromium weergeeft om sideloading te ontmoedigen.<\/span>\u00a0<\/span><\/li>\n
                                • Dankzij het in de cache opgeslagen C2-domein kan de extensie blijven functioneren met een known-good backend, zelfs als het RPC-eindpunt van de blockchain tijdelijk niet beschikbaar is.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                                  Ontwijking<\/span>\u00a0<\/span><\/h3>\n
                                    \n
                                  • De zichtbare identiteit van de extensie is een eenvoudige notitie-app met de naam ‘Google Notes’. Dit is een geloofwaardige dekmantel bij een vluchtige blik op de lijst met ge\u00efnstalleerde extensies.<\/span>\u00a0<\/span><\/li>\n
                                  • De opnieuw berekende HMAC<\/span>-waarden voldoen aan de integriteitscontrole van Chromium. De waarschuwingsbanner ‘extensie ge\u00efnstalleerd door een onbekende bron’, die anders de gebruiker zou waarschuwen, wordt hierdoor vermeden.<\/span>\u00a0<\/span><\/li>\n
                                  • Het installatieprogramma verwijdert zichzelf na uitvoering, waardoor het meest voor de hand liggende spoor van <\/span>de aanvankelijke inbreuk<\/span> op de schijf wordt gewist.\u00a0<\/span><\/li>\n
                                  • C2<\/span>-bepaling via een openbare blockchain houdt in dat er in het malwarepakket zelf geen persistent C2-domein waarneembaar is. Netwerkgebaseerde detecties die zijn gericht op hardcoded indicatoren treden pas in werking zodra het domein is bepaald en er contact mee is gelegd.<\/span>\u00a0<\/span><\/li>\n
                                  • Meertalige varianten van het installatieprogramma (.NET en Golang) verminderen de effectiviteit van signaturen van compilatie-artefacten en binaire kenmerken.<\/span>\u00a0<\/span><\/li>\n
                                  • Dynamische walletvervanging per adres houdt in dat gepubliceerde adressen van aanvallers snel verouderen en niet worden omgezet in blijvende vermeldingen op de blokkeerlijst \u2014 de verdediger moet de backend-service zelf blokkeren, niet de adressen die deze toewijst.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                                    Logica voor walletvervanging<\/span><\/span><\/span>\u00a0<\/span><\/h2>\n

                                    De Clipper-logica bestaat uit twee lagen: een content-scriptlaag die de activiteit op het klembord en de DOM-invoervelden bij elke bezochte oorsprong in de gaten houdt, en een achtergrondlaag die communiceert met de backend van de aanvaller om vervangende adressen op te halen.<\/span>\u00a0<\/span><\/p>\n

                                    Wanneer de extensie een kopieergebeurtenis waarneemt, past deze een reeks cryptovaluta-specifieke reguliere expressies toe op de inhoud van het klembord. Als er een overeenkomst wordt gevonden, wordt het onderschepte adres via een geauthenticeerd verzoek (geauthenticeerd met de API-sleutel die in de configuratie is opgenomen) naar de backend van de aanvaller verzonden.<\/span> De backend reageert met een vervangend adres dat specifiek is voor het ingediende origineel. Dit vervangende adres wordt teruggeschreven naar het klembord, waarbij het legitieme adres wordt overschreven voordat het slachtoffer het kan plakken.<\/span>\u00a0<\/span><\/p>\n

                                    Testen met een gereconstrueerde backend-client (die is gebouwd door het verzoekformaat en de decoderinglogica voor antwoorden van de extensie opnieuw in Python te implementeren) leverde een veelzeggend gedragsprofiel op:\u00a0<\/span>\u00a0<\/span><\/p>\n

                                      \n
                                    • Bitcoin<\/span><\/b>(BTC), Ethereum, Bitcoin Cash, Ripple en Dash: <\/span><\/b> elk opgegeven adres wordt gekoppeld aan een uniek adres dat door de aanvaller wordt beheerd. Geef je hetzelfde oorspronkelijke adres opnieuw op, dan wordt dezelfde vervanging geretourneerd. Dat wijst erop dat er aan de serverzijde een deterministische \u00e9\u00e9n-op-\u00e9\u00e9n-koppeling wordt bijgehouden.<\/span>\u00a0<\/span><\/li>\n
                                    • Solana: <\/span><\/b>alle opgegeven adressen worden vervangen door hetzelfde adres van de aanvaller. Dit wijst erop dat de functie die voor elk slachtoffer een uniek vervangend adres genereert, alleen voor bepaalde blockchains wordt ge\u00efmplementeerd.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                                      Analyse van<\/span>\u00a0cryptowallets van aanvallers<\/span><\/span>\u00a0<\/span><\/h2>\n

                                      Op basis van de codefragmenten uit de webextensie die verantwoordelijk is voor het ophalen van vervangende adressen, is een Python-script opgesteld om programmatisch de walletadressen van de aanvaller te extraheren. De payload werd samengesteld met de eigen code van de aanvaller, en het codefragment ‘get replacement address’ is rechtstreeks daaruit overgenomen. Ook de logica die de aanvaller gebruikte voor het decoderen van gegevens die van de C2-server werden ontvangen, werd getrouw opnieuw in het script ge\u00efmplementeerd.<\/span>\u00a0<\/span><\/p>\n

                                      Het script werd vervolgens uitgevoerd met behulp van enkele testadressen van Bitcoin (BTC)-wallets. Uit de resultaten bleek dat voor elk opgegeven Bitcoin-adres een uniek Bitcoin-adres als antwoord werd teruggestuurd, en dat al deze teruggestuurde adressen geldige BTC-wallets waren. Dit geeft aan dat de aanvaller voor elk opgegeven BTC-adres dynamisch een nieuwe wallet genereert die aan dat specifieke invoeradres is gekoppeld. Bovendien leverde het opnieuw opgeven van hetzelfde adres opnieuw hetzelfde BTC-adres op. Dit bevestigt dat<\/span> elk BTC-adres van een slachtoffer steeds wordt omgezet naar hetzelfde, specifieke adres dat door de aanvaller wordt beheerd<\/span><\/b>. Hoewel sommige van deze wallets van de aanvallers geld bevatten en andere leeg waren, is het vanwege het onbekende totale aantal wallets van de aanvallers moeilijk om een betrouwbare schatting te maken van de totale hoeveelheid cryptovaluta die is gestolen.<\/span><\/p>\n

                                      Hetzelfde gedrag werd waargenomen bij Ethereum, waar voor elke invoer verschillende walletadressen werden geretourneerd. Het is opmerkelijk dat, toen het script werd getest met Solana-adressen, er slechts \u00e9\u00e9n adres werd geretourneerd, ongeacht het aantal verschillende invoerwaarden dat werd opgegeven. Dat wijst erop dat de aanvaller alleen voor bepaalde cryptovaluta een unieke adresomzetting toepast. Voor andere cryptovaluta worden alle adressen vervangen door hetzelfde vaste ontvangstadres (ook wel ‘drop wallet’ genoemd). Aangezien het Solana-adres door alle slachtoffers wordt gedeeld, laat het saldo een opvallende stijging zien. Daarnaast bleek een van de ontdekte Ethereum-adressen ongeveer 1902 USD te bevatten.<\/span>\u00a0<\/span><\/p>\n

                                      Kort samengevat: de cryptovaluta\u2019s<\/strong> waarvoor unieke walletadressen per slachtoffer worden gegenereerd zijn onder meer Bitcoin, Ethereum, Bitcoin Cash, Ripple en Dash<\/strong>. <\/span>\"Figuur<\/strong>Figuur 13:<\/em> De payload bestond uit aanvalscode<\/em>[\/caption]<\/strong><\/p>\n

                                      \"Figuur
                                      Figuur 14: Fragment uit de aanvalscode voor het ophalen van een vervangend adres<\/em><\/figcaption><\/figure>\n
                                      \"Figuur
                                      Figuur 15: De logica die aanvallers hanteren bij het decoderen van ontvangen gegevens van C2 werd ook ge\u00efmplementeerd<\/em><\/figcaption><\/figure>\n

                                      Het actieve<\/span>\u00a0script met enkele Bitcoin Wallet-testadressen<\/span><\/span>\u00a0<\/span><\/p>\n

                                      \"Figuur
                                      Figuur 16: Elk uniek Bitcoin-adres werd geretourneerd en alle adressen zijn geldige BTC-walletadressen<\/em><\/figcaption><\/figure>\n
                                      \"Figuur
                                      Figuur 17: Ook bij Ethereum werden unieke adressen geretourneerd<\/em><\/figcaption><\/figure>\n
                                      \"Figuur
                                      Figuur 18: Actief script voor Solana-testadressen<\/em><\/figcaption><\/figure>\n

                                      Gelukkig voor Solana kregen we slechts \u00e9\u00e9n adres\u00a0<\/span>wanneer we meerdere\u00a0<\/span>adressen opgaven<\/span>. <\/span>Dit toont aan dat de aanvaller de adresomzetting alleen voor specifieke cryptovaluta heeft ge\u00efmplementeerd<\/span><\/span>\u00a0<\/span><\/p>\n

                                      \"Figuur
                                      Figuur 19: Hier is een stijging van het saldo zichtbaar<\/em><\/figcaption><\/figure>\n
                                      \"Figuur
                                      Figuur 20: Op het ETH-adres stond 1902 USD<\/em><\/figcaption><\/figure>\n

                                      Technische analyse van een .net-bestand (installatieprogramma voor extensie)<\/span><\/span><\/h3>\n
                                      \"Figuur
                                      Figuur 21 BaseZipInstaller is een .NET-installatieprogramma dat niet is ondertekend<\/em><\/figcaption><\/figure>\n
                                      \"Figuur
                                      Figuur 22: Opgeslagen configuratie zoals gezien in Dnspy<\/em><\/figcaption><\/figure>\n
                                        \n
                                      • De malware integreert een volledige JSON-configuratie rechtstreeks in het binaire bestand, waardoor het niet nodig is om de initi\u00eble configuratiegegevens uit externe bronnen op te halen.\u00a0.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                      • Deze ingebouwde configuratie bevat essenti\u00eble gegevens, zoals API-sleutels, de URL van de backend-server, de beoogde walletextensies en het volledige extensiemanifest met uitgebreide machtigingen.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                        \"Figuur
                                        Figuur 23: Hoofdfunctie van waaruit de uitvoering wordt gestart<\/em><\/figcaption><\/figure>\n
                                          \n
                                        • Het installatieprogramma haalt een extern ZIP-archief op en controleert de geldigheid ervan<\/span>\u00a0(google-services<\/span>[<\/span>.<\/span>]<\/span>cc\/base<\/span>[<\/span>.<\/span>]<\/span>zip)<\/span>. Dit archief fungeert als de primaire payload voor het installeren van de kwaadaardige browserextensie, waarmee de overgang wordt gemarkeerd van de eerste infectie naar een aanval op browserniveau<\/span>.<\/span><\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                                           <\/p>\n

                                           <\/p>\n

                                           <\/p>\n

                                          \"Figuur
                                          Figuur 24: De extensie wordt op de volgende locatie aangemaakt in het systeem met bestanden die als base.zip zijn gedownload.<\/em><\/figcaption><\/figure>\n
                                          \"Figuur
                                          Figuur 25: Dnspy toont de lijst met browsers waarop de aanval zich richt<\/em><\/figcaption><\/figure>\n
                                            \n
                                          • Het installatieprogramma doorloopt verschillende op Chromium gebaseerde browsers, waaronder Chrome, Edge, Opera en Brave, en identificeert daarbij de beschikbare gebruikersprofielen op het systeem.\u00a0.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                          • Voor elk gedetecteerd profiel wordt het browserproces gedwongen be\u00ebindigd, om de configuratiebestanden veilig en ongestoord te kunnen wijzigen.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                          • Vervolgens wordt de kwaadaardige extensie ge\u00efnstalleerd door de instellingen in ‘Secure Preferences’ en ‘Preferences’ rechtstreeks te wijzigen, waardoor de extensie kan worden geladen zonder tussenkomst van de gebruiker.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                            \"meer<\/div>\n
                                              \n
                                            • De malware identificeert de installatiepaden van browsers door standaard systeemmappen te doorzoeken. Zo kan het de mappen met gebruikersgegevens voor Chrome, Edge, Opera en Brave lokaliseren.\u00a0\u00a0<\/span>\u00a0<\/span><\/li>\n
                                            • Het programma doorloopt systematisch de browserprofielen en controleert specifiek of het bestand ‘Secure Preferences’ aanwezig is, waarin cruciale browserconfiguratie- en extensiegegevens zijn opgeslagen.\u00a0en.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                            • Door zich op profielen met ‘Secure Preferences’ te richten, zorgt de malware ervoor dat er uitsluitend geldige browseromgevingen worden gewijzigd. Hierdoor wordt de betrouwbaarheid van de extensie-injectie vergroot.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                              \"De
                                              Hier zie je een ‘WriteFile’-gebeurtenis in het Secure Preferences-bestand van Chrome en Microsoft Edge wanneer gegevens van gedownloade extensies naar die configuratiebestanden worden geschreven<\/em><\/figcaption><\/figure>\n
                                              \"Figuur
                                              Figuur 27: De aanvalslogica om het Secure Preferences-bestand opnieuw te ondertekenen<\/em><\/figcaption><\/figure>\n
                                                \n
                                              • De malware leest en wijzigt het Secure Preferences-bestand van de browser. Dit bestand beheert de ge\u00efnstalleerde extensies en hun vertrouwensstatus.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                              • De malware voegt de kwaadaardige extensie toe aan de configuratie en probeert de gewijzigde gegevens opnieuw te ondertekenen, waardoor de wijzigingen bij de integriteitscontroles van de browser als legitiem worden weergegeven.\u00a0.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                              • De bijgewerkte configuratie wordt vervolgens teruggeschreven naar de schijf, zodat de extensie automatisch wordt geladen en zichzelf in stand houdt, ook wanneer de browser opnieuw wordt opgestart.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                                \"Figuur
                                                Figuur 27B: Het extensiepad is toegevoegd aan het Secure Preferences-bestand van Chrome<\/em><\/figcaption><\/figure>\n
                                                \"Figuur
                                                Figuur 28: Logica voor het omzeilen van de beveiligingsmaatregelen van de Brave-browser<\/em><\/figcaption><\/figure>\n
                                                  \n
                                                • Bij browsers zoals Brave en Opera injecteert de malware de kwaadaardige extensie rechtstreeks in de configuratie van de browser door vermeldingen toe te voegen onder de sectie extensions.settings (of extensions.opsettings).\u00a0<\/span>\u00a0<\/span><\/li>\n
                                                • Daarnaast worden ook de integriteitsgerelateerde velden (protection.macs) bijgewerkt, zodat de ge\u00efnjecteerde extensie door de browser als betrouwbaar wordt beschouwd.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                                • Bovendien probeert de malware de ontwikkelaarsmodus programmatisch in te schakelen, waardoor uitgepakte extensies met minder beperkingen kunnen worden uitgevoerd.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                                  \"Figuur
                                                  Figuur 29: De aanvalslogica om de apparaat-ID te verkrijgen, die vervolgens wordt gebruikt om integriteitswaarden te berekenen<\/em><\/figcaption><\/figure>\n
                                                    \n
                                                  • De malware probeert de integriteitssignaturen van de browser opnieuw te berekenen door nieuwe MAC-waarden (Message Authentication Code) te genereren voor het gewijzigde ‘Secure Preferences’-bestand.\u00a0.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                                  • Het gebruikt systeemspecifieke identificatiegegevens, zoals de SID van de computer, in combinatie met een seedwaarde om het interne verificatiemechanisme van Chrome na te bootsen.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                                  • Door deze integriteitscontroles (macs en super_mac) opnieuw te berekenen, probeert de malware de ongeautoriseerde wijzigingen als legitiem te laten overkomen voor de browser.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n
                                                    \"Figuur
                                                    Figuur 30: Logica voor zelfverwijdering<\/em><\/figcaption><\/figure>\n
                                                      \n
                                                    • De malware bevat een mechanisme voor zelfverwijdering dat is bedoeld om het uitvoerbare installatieprogramma te verwijderen nadat het met succes is uitgevoerd.\u00a0<\/span>\u00a0<\/span><\/li>\n
                                                    • Het start een verborgen Command Prompt-proces dat de uitvoering kort uitstelt voordat het oorspronkelijke bestand van de schijf wordt verwijderd.<\/span>\u00a0<\/span><\/li>\n<\/ul>\n

                                                      Conclusie<\/span>\u00a0<\/span><\/h2>\n

                                                      Deze campagne illustreert de richting waarin cryptodiefstal gericht op consumenten zich ontwikkelt. De crimineel maakt gebruik van de oudste en eenvoudigste categorie cryptomalware – de clipper – en heeft drie van de zwakste schakels verbeterd. Statische adressen van de aanvaller zijn vervangen door een toewijzing aan de serverzijde die per slachtoffer wordt bijgehouden. Kwetsbare, hardcoded command-and-control-domeinen zijn vervangen door een via de blockchain opgezocht adres dat door de aanvaller met \u00e9\u00e9n enkele transactie kan worden gewijzigd. En een kwetsbare dropper is vervangen door een Chromium-extensie die onderdeel is van de app die de gebruiker het meest vertrouwt, en die wordt geladen onder de eigen integriteitssignatuur van de browser.<\/span>\u00a0<\/span><\/p>\n

                                                      McAfee blijft deze campagne en de bijbehorende infrastructuur volgen<\/strong>. Onze klanten worden beschermd door bestaande detectiemechanismen en profiteren van op telemetrie gebaseerde updates zodra nieuwe varianten en gewijzigde infrastructuur worden ge\u00efdentificeerd.<\/span>\u00a0<\/span><\/p>\n

                                                      Indicatoren van compromittering<\/span><\/span> (IOC)<\/span><\/h2>\n\n\n\n\n\n\n\n\n\n\n
                                                      Type<\/span><\/b>\u00a0<\/span><\/td>\nCategorie<\/span><\/b>\u00a0<\/span><\/td>\nWaarde<\/span><\/b>\u00a0<\/span><\/td>\n<\/tr>\n
                                                      SHA-256<\/span>\u00a0<\/span><\/td>\n.NET-installatieprogramma (BaseZipInstaller)<\/span>\u00a0<\/span><\/td>\n2735e12030c195fb5454e4736c51b55b59664b93cae9f4bd5317afcd9c2af0bf<\/span>\u00a0<\/span> 053620962047f50a91c6e8d1a6519eccc41fab51473f033086b4d816abe8bcb0<\/span>\u00a0<\/span> \u00a0<\/span><\/td>\n<\/tr>\n
                                                      SHA-256<\/span>\u00a0<\/span><\/td>\nGolang-gecompileerde variant van installatieprogramma<\/span>\u00a0<\/span><\/td>\n11be4c47ff049322de41743f62544cafd32d67e24ad653b7ebedf8ebd63e0962\u2003\u2003<\/span>\u00a0<\/span> 1432393691b415d0cd4680d9cee73e60896fbe63300d9f0355c96e91817e4b1d\u2003\u2003<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                                      URL<\/span>\u00a0<\/span><\/td>\nPayloadverspreiding<\/span>\u00a0<\/span><\/td>\nhxxps:\/\/google-services[.]cc\/base[.]zip<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                                      Domein<\/span>\u00a0<\/span><\/td>\nCommand-and-control (via smart contract)<\/span>\u00a0<\/span><\/td>\ndevops-offensive[.]cc<\/span>\u00a0<\/span> Zebregts[.]com<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                                      BTC-wallet<\/span>\u00a0<\/span><\/td>\nCryptowallet<\/span>\u00a0<\/span><\/td>\n3JvDBvKbS6YYMKjV3R9e9Zfd67f467fNLy<\/span>\u00a0<\/span> 1BbhVBxpniuZuAL1gGZnEMdQhmz9JGWpyT<\/span>\u00a0<\/span> 3AcPNVh7NyESwX3ECymy3rkdH4Ke2c26Tj<\/span>\u00a0<\/span> 1BVTrB47erypG3tevi1U9Fv6BbNUBEiuiX<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                                      Artefact<\/span>\u00a0<\/span><\/td>\nDoel voor sideloading<\/span>\u00a0<\/span><\/td>\nSecure Preferences-bestand van Chromium (Chrome-, Edge-, Brave- en Opera-profielen)<\/span>\u00a0<\/span><\/td>\n<\/tr>\n
                                                      Extensiebestanden<\/span>\u00a0<\/span><\/td>\nmanifest.json<\/span> \u00a0<\/span> crypto-patterns.js<\/span>\u00a0<\/span> \u00a0<\/span> Interceptor.js<\/span>\u00a0<\/span> \u00a0<\/span> content-script.j<\/span> \u00a0<\/span> \u00a0<\/span> cache.js<\/span> \u00a0<\/span> \u00a0<\/span> domain-resolver.js<\/span>\u00a0<\/span> \u00a0<\/span> service-worker.js<\/span>\u00a0<\/span> \u00a0<\/span> api-client.js<\/span>\u00a0<\/span><\/td>\ned2599d6a8f30d5eaf14ad7f855aece0acdf7efa4a148eb18e4d9f0d8e2cd90c<\/span> \u00a0<\/span> daf82c67e8e5df6bbd5370172ac9374aa7dce48af05496e8ec3dba7b602c619b<\/span> \u00a0<\/span> 6eb2f07265dd95cacd39dfcf0705786b97f3e173cf4e9b3dfe7bad141c9a9dd5<\/span>\u00a0<\/span> \u00a0<\/span> a2ffdbedc5c9f5400a2b1cf5d35f5ec1df06a74d0345f1035bcf75d36ed73e01<\/span> \u00a0<\/span> \u00a0<\/span> eb84ba4a0cd95655a021865d4fec93ae3393f86cc9848810ed0b49035b1c5e2c<\/span> \u00a0<\/span> 6aaba685669d779ef8be8f7f4231096cfafd0ef386f3897c5e2106c177724fc8<\/span> \u00a0<\/span> \u00a0<\/span> 2599064901308a97540af29197ed0b38702bbee38d6dbbfa61cf9eb5878353f3<\/span> \u00a0<\/span> ab450927b37e1b68e2be68832c354ac600e86e2545a904d4ca0ea283f2600cc2<\/span> \u00a0<\/span> \u00a0<\/span><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

                                                       <\/p>\n","protected":false},"excerpt":{"rendered":"

                                                      Geschreven door Neil Tyagi Samenvatting\u00a0 McAfee Advanced Threat Research heeft een actieve campagne met browserextensies ontdekt die bedoeld is om…<\/p>\n","protected":false},"author":695,"featured_media":209098,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[16218,16212,16202,16184,16156],"tags":[],"coauthors":[4136],"class_list":["post-234171","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-beveiligingsnieuws","category-internetbeveiliging","category-mcafee-labs","category-mobiele-beveiliging","category-online-veiligheid-voor-het-hele-gezin"],"acf":[],"yoast_head":"\nStille verwisseling: een campagne rond de Crypto Clipper-extensie | McAfee Blog<\/title>\n<meta name=\"description\" content=\"McAfee Advanced Threat Research heeft een actieve campagne met browserextensies ontdekt die bedoeld is om cryptovaluta te stelen. Hoe werkt het?\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<meta property=\"og:locale\" content=\"nl_NL\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Stille verwisseling: een campagne rond de Crypto Clipper-extensie | McAfee Blog\" \/>\n<meta property=\"og:description\" content=\"McAfee Advanced Threat Research heeft een actieve campagne met browserextensies ontdekt die bedoeld is om cryptovaluta te stelen. Hoe werkt het?\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/\" \/>\n<meta property=\"og:site_name\" content=\"McAfee Blog\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/McAfee\/\" \/>\n<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/McAfee\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-09-09T10:30:45+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\" \/>\n\t<meta property=\"og:image:width\" content=\"600\" \/>\n\t<meta property=\"og:image:height\" content=\"400\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"author\" content=\"McAfee Labs\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@McAfee_Labs\" \/>\n<meta name=\"twitter:site\" content=\"@McAfee\" \/>\n<meta name=\"twitter:label1\" content=\"Geschreven door\" \/>\n\t<meta name=\"twitter:data1\" content=\"McAfee Labs\" \/>\n\t<meta name=\"twitter:label2\" content=\"Geschatte leestijd\" \/>\n\t<meta name=\"twitter:data2\" content=\"20 minutes\" \/>\n\t<meta name=\"twitter:label3\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data3\" content=\"McAfee Labs\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/\"},\"author\":{\"name\":\"McAfee Labs\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad\"},\"headline\":\"Stille verwisseling: een campagne rond de Crypto Clipper-extensie\",\"datePublished\":\"2026-09-09T10:30:45+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/\"},\"wordCount\":4029,\"publisher\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/#organization\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"articleSection\":[\"Beveiligingsnieuws\",\"Internetbeveiliging\",\"McAfee Labs\",\"Mobiele beveiliging\",\"Online veiligheid voor het hele gezin\"],\"inLanguage\":\"nl-NL\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/\",\"name\":\"Stille verwisseling: een campagne rond de Crypto Clipper-extensie | McAfee Blog\",\"isPartOf\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/#primaryimage\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"datePublished\":\"2026-09-09T10:30:45+00:00\",\"description\":\"McAfee Advanced Threat Research heeft een actieve campagne met browserextensies ontdekt die bedoeld is om cryptovaluta te stelen. Hoe werkt het?\",\"breadcrumb\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/#breadcrumb\"},\"inLanguage\":\"nl-NL\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"nl-NL\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/#primaryimage\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg\",\"width\":600,\"height\":400},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Blog\",\"item\":\"https:\/\/www.mcafee.com\/blogs\/nl\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Beveiligingsnieuws\",\"item\":\"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/\"},{\"@type\":\"ListItem\",\"position\":3,\"name\":\"Stille verwisseling: een campagne rond de Crypto Clipper-extensie\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/#website\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/nl\/\",\"name\":\"McAfee Blog\",\"description\":\"Nieuws over internetbeveiliging\",\"publisher\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.mcafee.com\/blogs\/nl\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"nl-NL\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/#organization\",\"name\":\"McAfee\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/nl\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"nl-NL\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png\",\"width\":1286,\"height\":336,\"caption\":\"McAfee\"},\"image\":{\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/#\/schema\/logo\/image\/\"},\"sameAs\":[\"https:\/\/www.facebook.com\/McAfee\/\",\"https:\/\/x.com\/McAfee\",\"https:\/\/www.linkedin.com\/company\/mcafee\/\",\"https:\/\/www.youtube.com\/McAfee\"]},{\"@type\":\"Person\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad\",\"name\":\"McAfee Labs\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"nl-NL\",\"@id\":\"https:\/\/www.mcafee.com\/blogs\/nl\/#\/schema\/person\/image\/af947d76ffbef8521094b476cf8050c3\",\"url\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg\",\"contentUrl\":\"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg\",\"caption\":\"McAfee Labs\"},\"description\":\"McAfee Labs is one of the leading sources for threat research, threat intelligence, and cybersecurity thought leadership. See our blog posts below for more information.\",\"sameAs\":[\"https:\/\/www.linkedin.com\/company\/mcafee\/\",\"https:\/\/www.facebook.com\/McAfee\/\",\"https:\/\/x.com\/McAfee_Labs\"],\"url\":\"https:\/\/www.mcafee.com\/blogs\/nl\/author\/mcafee-labs\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Stille verwisseling: een campagne rond de Crypto Clipper-extensie | McAfee Blog","description":"McAfee Advanced Threat Research heeft een actieve campagne met browserextensies ontdekt die bedoeld is om cryptovaluta te stelen. Hoe werkt het?","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"og_locale":"nl_NL","og_type":"article","og_title":"Stille verwisseling: een campagne rond de Crypto Clipper-extensie | McAfee Blog","og_description":"McAfee Advanced Threat Research heeft een actieve campagne met browserextensies ontdekt die bedoeld is om cryptovaluta te stelen. Hoe werkt het?","og_url":"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/","og_site_name":"McAfee Blog","article_publisher":"https:\/\/www.facebook.com\/McAfee\/","article_author":"https:\/\/www.facebook.com\/McAfee\/","article_published_time":"2026-09-09T10:30:45+00:00","og_image":[{"width":600,"height":400,"url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","type":"image\/jpeg"}],"author":"McAfee Labs","twitter_card":"summary_large_image","twitter_creator":"@McAfee_Labs","twitter_site":"@McAfee","twitter_misc":{"Geschreven door":"McAfee Labs","Geschatte leestijd":"20 minutes","Written by":"McAfee Labs"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/#article","isPartOf":{"@id":"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/"},"author":{"name":"McAfee Labs","@id":"https:\/\/www.mcafee.com\/blogs\/nl\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad"},"headline":"Stille verwisseling: een campagne rond de Crypto Clipper-extensie","datePublished":"2026-09-09T10:30:45+00:00","mainEntityOfPage":{"@id":"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/"},"wordCount":4029,"publisher":{"@id":"https:\/\/www.mcafee.com\/blogs\/nl\/#organization"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/#primaryimage"},"thumbnailUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","articleSection":["Beveiligingsnieuws","Internetbeveiliging","McAfee Labs","Mobiele beveiliging","Online veiligheid voor het hele gezin"],"inLanguage":"nl-NL"},{"@type":"WebPage","@id":"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/","url":"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/","name":"Stille verwisseling: een campagne rond de Crypto Clipper-extensie | McAfee Blog","isPartOf":{"@id":"https:\/\/www.mcafee.com\/blogs\/nl\/#website"},"primaryImageOfPage":{"@id":"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/#primaryimage"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/#primaryimage"},"thumbnailUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","datePublished":"2026-09-09T10:30:45+00:00","description":"McAfee Advanced Threat Research heeft een actieve campagne met browserextensies ontdekt die bedoeld is om cryptovaluta te stelen. Hoe werkt het?","breadcrumb":{"@id":"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/#breadcrumb"},"inLanguage":"nl-NL","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/"]}]},{"@type":"ImageObject","inLanguage":"nl-NL","@id":"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/#primaryimage","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2025\/02\/Thumb.jpeg","width":600,"height":400},{"@type":"BreadcrumbList","@id":"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/crypto-clipper-browser-extensie-malware-wallet-verwisseling\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Blog","item":"https:\/\/www.mcafee.com\/blogs\/nl\/"},{"@type":"ListItem","position":2,"name":"Beveiligingsnieuws","item":"https:\/\/www.mcafee.com\/blogs\/nl\/beveiligingsnieuws\/"},{"@type":"ListItem","position":3,"name":"Stille verwisseling: een campagne rond de Crypto Clipper-extensie"}]},{"@type":"WebSite","@id":"https:\/\/www.mcafee.com\/blogs\/nl\/#website","url":"https:\/\/www.mcafee.com\/blogs\/nl\/","name":"McAfee Blog","description":"Nieuws over internetbeveiliging","publisher":{"@id":"https:\/\/www.mcafee.com\/blogs\/nl\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.mcafee.com\/blogs\/nl\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"nl-NL"},{"@type":"Organization","@id":"https:\/\/www.mcafee.com\/blogs\/nl\/#organization","name":"McAfee","url":"https:\/\/www.mcafee.com\/blogs\/nl\/","logo":{"@type":"ImageObject","inLanguage":"nl-NL","@id":"https:\/\/www.mcafee.com\/blogs\/nl\/#\/schema\/logo\/image\/","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2023\/02\/mcafee-logo.png","width":1286,"height":336,"caption":"McAfee"},"image":{"@id":"https:\/\/www.mcafee.com\/blogs\/nl\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/McAfee\/","https:\/\/x.com\/McAfee","https:\/\/www.linkedin.com\/company\/mcafee\/","https:\/\/www.youtube.com\/McAfee"]},{"@type":"Person","@id":"https:\/\/www.mcafee.com\/blogs\/nl\/#\/schema\/person\/86f325fa6532a017d06d6b49a2f3b1ad","name":"McAfee Labs","image":{"@type":"ImageObject","inLanguage":"nl-NL","@id":"https:\/\/www.mcafee.com\/blogs\/nl\/#\/schema\/person\/image\/af947d76ffbef8521094b476cf8050c3","url":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg","contentUrl":"https:\/\/www.mcafee.com\/blogs\/wp-content\/uploads\/2017\/07\/Social-Media-PF-Logo-Pic-300x300-2-96x96.jpg","caption":"McAfee Labs"},"description":"McAfee Labs is one of the leading sources for threat research, threat intelligence, and cybersecurity thought leadership. See our blog posts below for more information.","sameAs":["https:\/\/www.linkedin.com\/company\/mcafee\/","https:\/\/www.facebook.com\/McAfee\/","https:\/\/x.com\/McAfee_Labs"],"url":"https:\/\/www.mcafee.com\/blogs\/nl\/author\/mcafee-labs\/"}]}},"_links":{"self":[{"href":"https:\/\/www.mcafee.com\/blogs\/nl\/wp-json\/wp\/v2\/posts\/234171","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.mcafee.com\/blogs\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.mcafee.com\/blogs\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/nl\/wp-json\/wp\/v2\/users\/695"}],"replies":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/nl\/wp-json\/wp\/v2\/comments?post=234171"}],"version-history":[{"count":8,"href":"https:\/\/www.mcafee.com\/blogs\/nl\/wp-json\/wp\/v2\/posts\/234171\/revisions"}],"predecessor-version":[{"id":236109,"href":"https:\/\/www.mcafee.com\/blogs\/nl\/wp-json\/wp\/v2\/posts\/234171\/revisions\/236109"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/nl\/wp-json\/wp\/v2\/media\/209098"}],"wp:attachment":[{"href":"https:\/\/www.mcafee.com\/blogs\/nl\/wp-json\/wp\/v2\/media?parent=234171"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/nl\/wp-json\/wp\/v2\/categories?post=234171"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/nl\/wp-json\/wp\/v2\/tags?post=234171"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/www.mcafee.com\/blogs\/nl\/wp-json\/wp\/v2\/coauthors?post=234171"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}