Extensões maliciosas do Chrome sequestram buscas de 13 milhões de usuários
A Socket identificou 319 extensões do Chrome que desviavam buscas de Yahoo e Bing por um servidor proxy do operador, que registra as consultas e recebe comissões; cerca de 13,4 milhões de pessoas as instalaram.
Pontos principais
- Das extensões rastreadas, 264 foram identificadas nesta investigação, e as mais antigas datam de 2016.
- SecuryBrowse (58 extensões, cerca de 4,9 milhões de usuários) e Bing-Search (37, cerca de 2,2 milhões) concentram a maior parte das instalações; a Socket não identificou seus operadores.
- A Socket atribui 111 extensões, com cerca de 2,2 milhões de usuários, à Intango LTD, empresa de ad-tech que também publica o navegador Lumio.
- A maioria está como não listada na Chrome Web Store, fora das buscas da loja, e em geral é instalada por anúncios pagos em pop-ups de sites de baixa qualidade.
- A troca do buscador padrão é uma configuração do manifesto, sem permissões nem código; o aviso de instalação não diz para onde as buscas vão.
- Muitas foram retiradas da Chrome Web Store após a divulgação, mas a Socket afirma que novos domínios e iscas continuam surgindo.
A Socket descreve um esquema em que cada consulta passa primeiro por um servidor proxy do operador, que registra o histórico completo, muitas vezes ligado a um identificador único, e só depois segue ao Yahoo ou ao Bing, que repassam comissões de parceria. Segundo a empresa, o proxy escolhe o destino de cada busca no momento em que ela chega: seis buscas idênticas feitas pela extensão Predator Search, que tem 50 mil usuários, terminaram em quatro lugares, entre eles uma página de redirecionamento e uma página de erro do Cloudflare.
Até aqui, segundo a Socket, a maioria dos redirecionamentos apenas acrescenta a identificação de parceria aos resultados. A empresa considera possível que, com o tempo, o operador passe a levar buscas específicas, ou usuários de certas regiões, a páginas de phishing ou a downloads maliciosos. Recomenda-se que os usuários verifiquem as extensões instaladas e removam qualquer software desconhecido.