319 extensiones de Chrome desviaron en silencio las búsquedas de 13,4 millones de usuarios

Una extensa familia de extensiones de Chrome ha sido vinculada a un secuestro de búsquedas de una escala poco habitual en el ecosistema de navegadores: 319 complementos con una huella combinada de unos 13,4 millones de instalaciones acumuladas desde 2016. Las extensiones se presentaban como conversores de PDF, buscadores de manuales, herramientas de "búsqueda segura" o asistentes de búsqueda con IA. Lo que hacían en realidad era más simple y más discreto: sustituir el motor de búsqueda predeterminado del navegador por un proxy controlado por los operadores, de modo que cada consulta daba un rodeo antes de llegar a Yahoo o Bing.

Una aclaración de entrada. La cifra de 13,4 millones es acumulada a lo largo de años de actividad, no el número de personas afectadas hoy. El lote más reciente analizado comprende 264 extensiones con unos 8,7 millones de instalaciones; el resto procede de oleadas anteriores.

Qué ocurrió

El truco se apoya en una función legítima de Chrome. El manifiesto de una extensión puede declarar una entrada chrome_settings_overrides.search_provider, que indica al navegador que use un nuevo motor de búsqueda predeterminado. No necesitaban nada más. Varios de los paquetes analizados contenían únicamente el archivo de manifiesto y tres iconos: sin service worker en segundo plano, sin scripts de contenido, sin botón en la barra de herramientas y sin más permisos que la sobrescritura de la búsqueda.

Chrome sí muestra un aviso durante la instalación indicando que la extensión cambiará la configuración de búsqueda. Lo que no dice es adónde irán las consultas. Esa laguna es la que explotó la operación. Quien revisa los permisos no ve nada alarmante y, sin embargo, ahora hay un servidor ajeno entre el usuario y sus resultados.

El dinero sale de la sindicación de búsquedas. Yahoo y Bing tienen programas de socios que reparten ingresos publicitarios con quien aporta el tráfico, y los parámetros de seguimiento añadidos a cada consulta redirigida identifican a qué socio se le paga. Pasar las búsquedas por un proxy en lugar de enviarlas directamente al buscador da a los operadores dos cosas más: visibilidad total sobre lo que busca la gente y control en el servidor sobre el destino de cada consulta.

Ese control se observó directamente en una extensión, "Predator Search". Seis consultas idénticas enviadas a través de su proxy produjeron cuatro resultados distintos: resultados normales de Yahoo, páginas de destino alternativas, una cadena de redirecciones adicional y una página de error. La extensión no cambió en ningún momento; el comportamiento se decidía por completo en el servidor.

Por qué importa

Por ahora, el tráfico analizado fue en su mayoría redirección de búsquedas con etiquetas de referido, no phishing ni distribución de malware. Entregar algo más dañino sigue siendo una escalada posible, no un resultado confirmado, y conviene mantener esa distinción.

Pero la exposición de privacidad ya es real. Las consultas de búsqueda revelan problemas de salud, apuros financieros, proyectos de trabajo confidenciales e intereses personales. Como el intermediario recibe la consulta primero, una página de resultados de aspecto perfectamente normal no dice nada sobre la ruta que siguió la petición. En un entorno corporativo, eso significa que nombres de proyectos internos, de clientes y nombres en clave de productos pueden haber pasado por los registros de un tercero.

El modelo de distribución también explica cómo pasó desapercibida. La mayoría de las extensiones no estaban listadas en la Chrome Web Store: accesibles mediante un enlace directo, invisibles en la búsqueda de la tienda. La publicidad de pago, incluidos popovers y popunders, llevaba a los usuarios a páginas de destino que promocionaban herramientas de apariencia útil, con botones de "Continuar" e "Instalar" que conducían directamente a la página de la extensión. Para un solo dominio de destino se publicaron unos 400 anuncios desde una cuenta de anunciante verificada.

La infraestructura compartida lo conecta todo. Un grupo de unas 111 extensiones y 2,2 millones de instalaciones conduce a una única empresa. Otro, bajo la marca SecuryBrowse, abarca 58 extensiones y aproximadamente 4,9 millones de usuarios. Un grupo más reciente, centrado en Bing, de 37 extensiones, publicó actualizaciones coordinadas en editores supuestamente independientes, algo difícil de explicar sin un operador común. Cruzar fichas de la tienda, políticas de privacidad, registros de transparencia publicitaria y datos de escaneo de internet sacó a la luz relaciones que los distintos nombres de extensión y marcas de editor estaban pensados para ocultar.

Un último punto: los dominios sobreviven a las extensiones. Cuando se retira una ficha, la infraestructura de proxy suele seguir en línea, esperando al siguiente paquete. Seguir la infraestructura del operador ofrece una imagen mucho mejor que comprobar si una ficha concreta sigue publicada.

Qué hacer

Para usuarios:

• Abre la página de extensiones de Chrome y elimina todo lo que no reconozcas o ya no uses.
• En Configuración, en la sección Motor de búsqueda, comprueba que el predeterminado es el que tú elegiste. Si aparece una entrada "Safe Search", "PDF Search" o similar, bórrala.
• Desconfía de las extensiones encontradas a través de anuncios y no mediante una búsqueda en la tienda.

Para organizaciones:

• Trata la sobrescritura del motor de búsqueda como una señal por sí misma. Los procesos de revisión de extensiones que solo miran permisos dejarán pasar estos paquetes siempre.
• Impón una lista de extensiones permitidas mediante políticas de navegador gestionadas y fija el proveedor de búsqueda de forma centralizada.
• Investiga las redirecciones de búsqueda sin explicación en los equipos. Busca en los registros de proxy y DNS los indicadores de abajo.
• Caza por infraestructura, no por ID de extensión. La ficha puede haber desaparecido; los dominios probablemente no.

La configuración del navegador rara vez recibe la atención que se dedica a servidores y perímetro, y sin embargo es una vía directa a lo que los empleados escriben todo el día. Nuestros servicios de penetration testing incluyen comprobaciones de hardening de puestos de trabajo y navegadores: si las listas de extensiones permitidas se aplican de verdad, si el proveedor de búsqueda puede sustituirse sin que nadie lo note, para que este tipo de brechas aparezca en un informe antes que en los registros de otro.

Indicadores de compromiso

Los dominios están desactivados (defanged). Reactívalos solo dentro de tu plataforma de inteligencia de amenazas o SIEM.