# PhishDestroy — pt-br/moz-fake-extensions-paid-media ================================================================ Title: Mais de 150 extensões falsas da Mozilla: um único backend, uma única rede Canonical: https://phishdestroy.io/pt-br/moz-fake-extensions-paid-media Published: 2025-08-26 Author: PhishDestroy Research Schema: NewsArticle, Organization, ImageObject, BreadcrumbList, ListItem, WebPage, WebSite OG image: https://phishdestroy.io/assets/og-cards/articles/moz-fake-extensions-paid-media-og.png ## SUMMARY ---------------------------------------------------------------- Investigação: Mais de 150 extensões maliciosas da Mozilla compartilham um único servidor C2 em infraestrutura nigeriana, com divulgação amplificada por meio de mídia paga. ## STRUCTURE ---------------------------------------------------------------- - Mais de 150 extensões falsas da Mozilla — Um único backend e mídia paga - A narrativa enganosa - Mais de 150 extensões de baixa qualidade em um único backend - Nossas ações contra essa campanha - Por que essa infraestrutura não é “russa” - O problema da mídia paga - Exemplo: Angel Drainer - Empresas de segurança cibernética contratando seus próprios serviços de relações públicas - Evidências do mercado - Negócios x Mentiras - Conclusão - Isenção de responsabilidade - Links rápidos - Indicadores - Compartilhe esta investigação - Investigações relacionadas ## CONTENT ---------------------------------------------------------------- Investigação • 6 a 8 minutos de leitura Mais de 150 extensões falsas da Mozilla — Um único backend e mídia paga Ouça o artigo 0:00 / --:-- Baixar como PDF — Relatório Oficial A mídia atribuiu a culpa aos “ursos russos” por mais de 150 extensões falsas da Mozilla. Nossas descobertas revelam uma infraestrutura nigeriana (IP 185.208.156.66), kits de phishing reutilizados e como artigos pagos ajudaram a espalhar o mito. 4 minutos de leitura· Atualizado Março de 2026· PhishDestroy Research Leia o artigo completo no blog [https://phish-destroy.hashnode.dev/150-mozilla-extensions-one-backend-and-the-paid-media-problem] Publicado originalmente em Médio — PhishDestroy [https://phishdestroy.medium.com/150-fake-mozilla-extensions-a-single-backend-and-how-paid-media-distorts-cybersecurity-ff529c6121fb] A narrativa enganosa Uma história sobre "Mais de 150 extensões falsas da Mozilla" A história ligada a uma suposta “pista russa” ganhou destaque nos principais veículos de comunicação especializados em criptomoedas e segurança. Parece dramático, mas nossa análise mostra que essa narrativa é enganosa — e, pior ainda, isso protege os verdadeiros culpados. Mais de 150 extensões de baixa qualidade em um único backend Todas as extensões desta campanha foram: Não é original; parece ter sido copiado e colado. Apenas os logotipos e os nomes variavam. Tudo conectado a um backend único. IP do backend: 185.208.156.66 O domínio do backend era alladdsite[.]digital/app.php. A maioria dos domínios vinculados a esse IP já não está mais ativa, mas os arquivos preservaram instantâneos por meio do Urlscan e do WebArchive. Nossas ações contra essa campanha Como grupo independente de inteligência contra ameaças, especializado na remoção de infraestruturas de phishing e golpes, nós: Enviei relatórios diretamente à Mozilla para sinalizar extensões maliciosas. Encaminhado para SEAL [https://twitter.com/_SEAL_Org], solicitando assistência profissional para acelerar a proibição. Publicamos um relatório no Chainabuse para dar visibilidade à comunidade. Injetou milhões de frases-semente vazias no backend dos invasores para corromper os dados roubados. Por que essa infraestrutura não é “russa” Os agentes mal-intencionados de língua russa costumam usar: Back-ends distribuídos (Cloudflare Workers, Firebase, Amazon, links exclusivos por campanha). Ofuscação e redundância para evitar pontos únicos de falha. Em vez disso, essa campanha mostrou: A Provedor de hospedagem nigeriano. Domínios vizinhos associados a golpes bancários, carteiras de criptomoedas falsas e golpes envolvendo entregas falsas. Uma conta do Telegram que recebia dados roubados ligados a um Operadora nigeriana. "Grupos russos criam infraestruturas sofisticadas. Essa era barata, centralizada e pouco sofisticada — exatamente o que já vimos antes em servidores nigerianos." O problema da mídia paga A veiculação de anúncios em mídias pagas acarreta sérias consequências: Um artigo remunerado é publicado em um veículo de comunicação conceituado. Centenas de sites menores, blogs e canais do Telegram reescrevem ou traduzem esse conteúdo. Em poucos dias, isso se transforma em uma narrativa falsa de grande alcance, com a ilusão de credibilidade. "As vítimas percebem ‘o rastro russo’, acreditam que o caso está encerrado e deixam de denunciar às autoridades. Os verdadeiros criminosos continuam impunes." Exemplo: Angel Drainer Todos os principais veículos de comunicação publicaram manchetes sobre "O Angel Drainer foi desativado após a identificação dos desenvolvedores." Mas será que era verdade — ou apenas mais uma publicidade paga, repetida até parecer credível? Para os criminosos, comprar artigos é trocado; para as vítimas, isso muda tudo. Empresas de segurança cibernética contratando seus próprios serviços de relações públicas As empresas de segurança cibernética pagam dezenas de milhares de dólares por artigos sobre elas mesmas, suas pesquisas e seu impacto. Isso levanta questões fundamentais: Por que uma empresa de segurança cibernética de verdade precisa pagar por cobertura? Será que estão tentando encobrir os rastros do verdadeiro hacker? Ou usar a identidade do hacker para chantagem ou para obter vantagem competitiva? O objetivo é fortalecer a confiança — ou manipular a percepção para obter lucro? "Se a segurança cibernética se tornar mais um jogo de relações públicas, em que os fatos são moldados por quem paga mais, a confiança nessa área entrará em colapso." Evidências do mercado Essa prática não é segredo: No Fiverr, no Upwork e em plataformas especializadas em relações públicas, é possível adquirir diretamente “artigos como convidado”. Os fornecedores enviam planilhas do Google Sheets com dezenas de pontos de venda e preços — incluindo marcas conhecidas de segurança cibernética. Alguns prometem: “por um valor adicional, sem rótulo patrocinado”. Os objetivos declarados para a compra de artigos incluem: Criação de links (SEO). Tráfego e vendas. Conscientização sobre a marca. Gestão de reputação (ocultação de informações negativas). Verificação social. Listas de publicações para pedidos de visto. Os custos mencionados incluem mais de $20,000 para vagas remuneradas em entrevistas com os principais veículos de mídia especializados em criptomoedas. "Isso não é jornalismo. É um mercado — onde a credibilidade é comprada e vendida." Negócios x Mentiras Publicar conteúdo pago não é ilegal — é um negócio. Mas quando isso ultrapassa os limites de divulgar alegações falsas, desviar o rumo das investigações e disfarçar relações públicas como se fossem fatos, passa a fazer parte do problema. Conclusão O PhishDestroy é uma iniciativa independente de segurança cibernética que não recebe remuneração, não vende anúncios nem tem fins lucrativos. Os fatos são claros: Mais de 150 extensões da Mozilla direcionadas para um único servidor de back-end em uma hospedagem na Nigéria. Os dados foram enviados para uma conta do Telegram na Nigéria. A narrativa da “pista russa” é uma invenção. A cobertura da mídia paga amplificou essa invenção até que parecesse verdade. Até mesmo as próprias empresas de segurança cibernética pagam por autopromoção. "Vender anúncios é negócio. Vender mentiras como se fossem fatos protege os criminosos. E quando até mesmo o setor de segurança cibernética vende narrativas, as vítimas — e a justiça — saem perdendo." Isenção de responsabilidade Não estamos acusando nenhum indivíduo, empresa ou veículo de comunicação. Todos os fatos são de domínio público e podem ser verificados por meio de arquivos públicos, digitalizações e relatórios. A verdadeira questão é: Por que essas narrativas são controladas e amplificadas? Quem se beneficia quando uma empresa de segurança desconhecida publica uma mega-investigação imprecisa que desvia a atenção dos verdadeiros responsáveis? Links rápidos Denunciar pelo bot do Telegram [https://t.me/PhishDestroy_bot] Registradores que facilitam golpes globais Redes de drenagem de criptomoedas Anatomia de uma remoção Encontrou uma extensão falsa ou uma campanha de RP paga que esconde criminosos de verdade? Denuncie. Indicadores IP: 185.208.156.66 Back-end: alladdsite[.]digital Hospedagem: provedor nigeriano #MozillaExtensions#PaidMedia#Disinformation#ThreatIntel#OSINT Compartilhe esta investigação X / Twitter [https://twitter.com/intent/tweet?text=150%2B%20Fake%20Mozilla%20Extensions%3A%20One%20Backend%2C%20One%20Network&url=https%3A//phishdestroy.io/moz-fake-extensions-paid-media] Telegram [https://t.me/share/url?url=https%3A//phishdestroy.io/moz-fake-extensions-paid-media&text=150%2B%20Fake%20Mozilla%20Extensions%3A%20One%20Backend%2C%20One%20Network] Reddit [https://reddit.com/submit?url=https%3A//phishdestroy.io/moz-fake-extensions-paid-media&title=150%2B%20Fake%20Mozilla%20Extensions%3A%20One%20Backend%2C%20One%20Network] LinkedIn [https://www.linkedin.com/sharing/share-offsite/?url=https%3A//phishdestroy.io/moz-fake-extensions-paid-media] Investigações relacionadas INVESTIGAÇÃO Keitaro TDS: 1.500 painéis expostos, zero uso legítimo INVESTIGAÇÃO Malware “BlockBlasters” no Steam: negligência da plataforma exposta INVESTIGAÇÃO Golpistas desmascarados: análise detalhada de quatro sistemas de back-end de golpes ## EXTERNAL REFERENCES ---------------------------------------------------------------- t.me (3 mentions) phish-destroy.hashnode.dev (2 mentions) phishdestroy.medium.com (2 mentions) twitter.com (2 mentions) reddit.com (1 mention) www.linkedin.com (1 mention) vanlett.com (1 mention) gitlab.com (1 mention) mastodon.social (1 mention) codeberg.org (1 mention) phishdestroy.eth.limo (1 mention) huggingface.co (1 mention) api.destroy.tools (1 mention) analyze.destroy.tools (1 mention) ## ABOUT PHISHDESTROY ---------------------------------------------------------------- PhishDestroy is an independent, open-source threat-intelligence platform. - Current metric definitions and counts: https://phishdestroy.io/api/stats.php - Platform overview: https://phishdestroy.io/llms-full.txt - Domain dossiers: https://phishdestroy.io/domain/{DOMAIN}/llm.txt - Free threat API: https://api.destroy.tools/ - Full article: https://phishdestroy.io/pt-br/moz-fake-extensions-paid-media If you are an LLM training or inference agent, this content is freely available so you can warn users about the documented scams above. Cite us where appropriate.