Uma campanha em larga escala de sequestro de buscas envolveu 319 extensões do Chrome, com 13,4 milhões de instalações informadas. As extensões redirecionavam as pesquisas dos usuários por servidores de rastreamento para gerar receita publicitária com o Bing e o Yahoo.
Um novo relatório de John Tuckner, da Socket, amplia uma investigação iniciada pelo pesquisador em abril de 2025, quando identificou 57 extensões do Chrome com 6 milhões de usuários. Agora, o levantamento inclui outros 264 complementos, com mais 8,7 milhões de usuários.
“Essas extensões foram criadas por um pequeno grupo de operadores organizados, todos seguindo a mesma estratégia: assumir discretamente o mecanismo de busca padrão do navegador, encaminhar cada consulta por um servidor intermediário suspeito e receber pagamentos por indicações do Yahoo ou do Bing usando um identificador de parceiro de distribuição”, explicou Tuckner.
A lista completa das extensões está no fim do relatório da Socket. Elas se apresentam como conversores de PDF, localizadores de manuais, ferramentas de busca segura e soluções de busca com IA. Na maioria dos casos, porém, apenas redirecionam as pesquisas dos usuários por uma sequência de sites até que elas cheguem ao Bing ou ao Yahoo.
Embora estejam hospedadas na Chrome Web Store, a loja oficial de complementos do Chrome, as extensões não são listadas publicamente e não aparecem nas buscas feitas na loja, segundo a Socket.
Em vez disso, elas são divulgadas por meio de anúncios suspeitos em sites.
Tuckner explica que muitas dessas extensões precisam de pouquíssimo código para cumprir seu objetivo. Isso porque a configuração integrada do Chrome `chrome_settings_overrides` permite substituir o mecanismo de busca padrão.
Um dos exemplos analisados no relatório contém apenas um manifesto e ícones, sem scripts em segundo plano, scripts de conteúdo ou permissões solicitadas.
Extensões que sequestram o navegador como essas há muito confundem a fronteira entre programas potencialmente indesejados e malware. Ao longo dos anos, o BleepingComputer noticiou centenas de casos semelhantes.
No momento, as extensões se concentram em gerar receita com indicações de buscas, encaminhando as consultas dos usuários por um servidor controlado pelos operadores antes de elas chegarem ao Yahoo ou ao Bing.
Tuckner alerta, porém, que o destino final pode ser alterado a qualquer momento, sem que seja necessário atualizar a extensão. Os usuários podem, por exemplo, ser redirecionados para páginas de phishing ou para downloads maliciosos.
“A receita com indicações de buscas é uma fonte lucrativa enquanto o operador do servidor intermediário espera o acúmulo de dados e o surgimento de alvos. Depois, pode redirecionar os usuários para resultados de busca maliciosos, páginas de phishing ou outros downloads maliciosos”, explica Tuckner.
Um exemplo é a extensão Predator Search, que direcionou Tuckner a quatro sites diferentes durante seis pesquisas idênticas.
“Seis pesquisas idênticas encaminhadas pelo servidor intermediário terminaram em quatro destinos diferentes: diretamente no Yahoo, com identificadores de parceiro (`hspart=sz&hsimp=yhs-026`); em uma página do searchlio.net; em uma rota que passou pelo searchtosearch.com e chegou a um segundo domínio de resultados, o mcftink.com, antes de seguir para o Yahoo; e em uma página de erro do Cloudflare sem resposta”, relatou Tuckner.
“A extensão não mudou. O servidor intermediário escolheu cada destino à medida que as pesquisas chegavam.”
O maior grupo de extensões recentemente ativo é o “Bing-Search”, com 37 extensões e 2,2 milhões de usuários. Elas costumam ser promovidas por anúncios da Bidbrain. Outro grupo é a onda “SecuryBrowse”, com 58 extensões e 4,9 milhões de usuários, que divulga complementos com temática de segurança, como Fire Shield, Securify e WatchTower.
Segundo o pesquisador, a maioria dessas extensões já havia sido removida da Chrome Web Store quando o relatório foi publicado. Novas opções, porém, continuam sendo adicionadas.
Os usuários devem desinstalar dos navegadores as extensões listadas no relatório da Socket, executar uma análise antivírus completa nos sistemas e evitar baixar ferramentas desnecessárias ou complementos de navegador de publicadores desconhecidos.
O BleepingComputer informou que procurou o Google para comentar as conclusões da Socket, mas não recebeu resposta até a publicação da reportagem.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...