Golpe em extensões do Chrome: 319 apps roubavam buscas de 13,4 milhões de usuários
Destaques
- •Cerca de 319 extensões maliciosas foram descobertas na Chrome Web Store, com mais de 13,4 milhões de downloads.
- •As extensões sequestravam buscas dos usuários, redirecionando-as para gerar receita falsa via referral, e podiam levar a phishing ou downloads fraudulentos.
- •A maioria das extensões já foi removida da loja do Google, mas novas ameaças podem surgir.
Um relatório da empresa de segurança Socket revelou nesta quinta-feira (29) que 319 extensões do navegador Google Chrome, com um total de cerca de 13,4 milhões de downloads, operavam como golpes de sequestro de mecanismos de busca. Essas extensões, ativas por até dez anos, utilizavam mecanismos da própria loja do Google para evitar detecção.
As extensões se disfarçavam de ferramentas úteis, como buscadores de PDF ou otimizadores de pesquisa. Após a instalação, alteravam o mecanismo de busca padrão do usuário para Yahoo! ou Bing. O golpe se baseava no sistema de referral, onde cada plataforma de busca gera receita com base na origem do tráfego. As extensões criminosas redirecionavam as buscas dos usuários através de um servidor proxy intermediário, adicionando um referral falso ao link antes de exibir os resultados. Dessa forma, empresas de fachada criadas pelos cibercriminosos recebiam a receita compartilhada por serem a fonte aparente do tráfego.
Sequestro de buscas e riscos adicionais
O mecanismo de referral, que normalmente ajuda a identificar a origem de visitas em sites, era explorado para criar uma fonte falsa de tráfego. O usuário, acreditando estar realizando uma pesquisa comum, era inadvertidamente direcionado para gerar receita para os golpistas.
Além da geração de receita indevida, o uso do proxy permitia que essas extensões maliciosas direcionassem os usuários para páginas de phishing ou para downloads fraudulentos, aumentando o risco de roubo de dados e infecção por malware.
Como as extensões escapavam da detecção
As extensões fraudulentas eram hospedadas na loja digital do Chrome, mas configuradas como "não listadas". Isso impedia que fossem encontradas em buscas comuns na loja, sendo acessíveis apenas por meio de links diretos, frequentemente exibidos em anúncios em buscadores ou redes sociais.
O golpe se concentrava em "centrais" de extensões falsas. Os grupos mais proeminentes identificados foram o SecuryBrowse, com 58 extensões e quase 5 milhões de downloads, e o Bing-Search, que, apesar do nome, foi baixado fora do ambiente oficial da Microsoft, com 37 extensões e 2,2 milhões de usuários.
Remoção e próximos passos
Após a denúncia da Socket, a maioria das extensões identificadas foi deletada ou já havia sido removida da Chrome Web Store. No entanto, a natureza dinâmica das ameaças cibernéticas sugere que novas extensões similares podem voltar a aparecer no catálogo do Google.
