Uma investigação sobre extensões do navegador identificou 319 extensões suspeitas associadas a cerca de 13,4 milhões de usuários relatados, expondo um ecossistema de sequestro de buscas em atividade desde 2016.
Apresentadas como localizadores manuais, conversores de PDF (formato de documento portátil), utilitários de busca segura e ferramentas de busca com IA (inteligência artificial), as extensões direcionam as consultas por uma infraestrutura controlada pelos operadores antes de entregar resultados do Yahoo ou do Bing.
A investigação Searchjacked amplia pesquisas anteriores com 264 extensões recém-identificadas, que respondem por outros 8,7 milhões de usuários relatados.
Esses números acumulados abrangem uma década e não devem ser interpretados como uma contagem verificada de pessoas afetadas atualmente.
A descoberta técnica diz respeito à configuração chrome_settings_overrides.search_provider do Chrome.
Uma extensão pode substituir o provedor de busca padrão por meio de seu manifesto, sem solicitar permissões sensíveis, executar um processo em segundo plano (service worker), injetar scripts de conteúdo ou oferecer uma interface funcional.
Uma das extensões analisadas, a Safe Game Search, consistia apenas em seu manifesto e em três ícones.
Sua configuração definia um endereço de busca controlado pelo operador como padrão e fornecia um endereço separado para o preenchimento automático. A interceptação foi realizada pela configuração do navegador, e não pela lógica executável da extensão.
Essa distinção cria um ponto cego para a detecção: revisões de permissões, isoladamente, não conseguem determinar se uma extensão expõe a atividade de navegação.
Em vez de enviar as buscas diretamente a provedores consolidados, essas extensões introduzem um intermediário capaz de observar as consultas e associá-las a identificadores ou informações de rede.
Os operadores monetizam o tráfego resultante por meio de acordos de distribuição de buscas, anexando os parâmetros hspart e hsimp do Yahoo ou os valores PC e PTAG do Bing.
O proxy também dá aos operadores controle sobre cada destino. A Predator Search, listada com 50 mil usuários, demonstrou essa variabilidade: seis buscas idênticas produziram quatro resultados diferentes, incluindo resultados do Yahoo, domínios intermediários e uma página de erro da Cloudflare.
Sequestro de extensões do Chrome
Esse comportamento demonstra flexibilidade de roteamento no lado do servidor, e não distribuição de malware confirmada. A investigação descreve páginas de phishing, resultados manipulados e downloads maliciosos como possíveis consequências, mas não demonstra que esses resultados tenham ocorrido.
Da mesma forma, a visibilidade sobre as consultas não comprova, por si só, que todos os operadores as retenham ou as vendam.
Pesquisadores da Socket afirmaram que o Chrome exibe um aviso de alteração de busca durante a instalação, mas esse alerta não explica totalmente a infraestrutura de proxy posterior nem as decisões de roteamento subsequentes.
Campanhas do Google Ads e do Bidbrain promoveram páginas de destino com marca que incentivavam a instalação, frequentemente por meio de popovers e popunders que anunciavam recursos aparentemente úteis do navegador.
Os pesquisadores associaram cerca de 111 extensões e 2,2 milhões de instalações à Intango LTD. O grupo SecuryBrowse reunia 58 extensões e cerca de 4,9 milhões de usuários, enquanto um grupo mais recente, voltado ao Bing, continha 37 extensões.
Identificadores de parceiros compartilhados e atualizações sincronizadas ajudaram a conectar editores aparentemente separados.
As descobertas se baseiam na investigação anterior da Secure Annex, que examinou extensões ocultas com temática de segurança e funcionalidades suspeitas.
A maioria das extensões identificadas não estava listada na Chrome Web Store, o que tornou os links diretos e a publicidade centrais para a distribuição.
Esse trabalho anterior também documentou extensões com permissões mais amplas, o que reforça que toda a população de 319 extensões não deve ser caracterizada como isenta de permissões.
Os investigadores combinaram listagens nas lojas, políticas de privacidade, registros de transparência publicitária, Censys, urlscan e DecryptAds para mapear a infraestrutura e a atribuição.
Para equipes de defesa, a lição prática é inspecionar as extensões instaladas junto com os provedores de busca padrão e as cadeias de redirecionamento. As organizações devem restringir extensões não autorizadas e investigar alterações de busca inexplicadas.
Usuários devem remover complementos desconhecidos e verificar o mecanismo de busca configurado. Um manifesto mínimo não é, por si só, evidência de risco de segurança mínimo.
