319 extensões do Chrome desviaram silenciosamente as pesquisas de 13,4 milhões de utilizadores

Uma vasta família de extensões do Chrome foi associada a um sequestro de pesquisas numa escala rara no ecossistema dos browsers: 319 extensões com uma pegada combinada de cerca de 13,4 milhões de instalações acumuladas desde 2016. As extensões apresentavam-se como conversores de PDF, localizadores de manuais, ferramentas de "pesquisa segura" ou assistentes de pesquisa com IA. O que faziam na realidade era mais simples e mais discreto: substituir o motor de pesquisa predefinido do browser por um proxy controlado pelos operadores, de modo que cada consulta dava uma volta antes de chegar ao Yahoo ou ao Bing.

Uma ressalva desde já. O número de 13,4 milhões é cumulativo ao longo de anos de atividade, não a contagem de pessoas afetadas hoje. O lote mais recente analisado inclui 264 extensões com cerca de 8,7 milhões de instalações; o resto vem de vagas anteriores.

O que aconteceu

O truque assenta numa funcionalidade legítima do Chrome. O manifesto de uma extensão pode declarar uma entrada chrome_settings_overrides.search_provider, que indica ao browser que passe a usar um novo motor de pesquisa predefinido. Foi só disso que precisaram. Vários dos pacotes analisados continham apenas o ficheiro de manifesto e três ícones: sem service worker em segundo plano, sem scripts de conteúdo, sem botão na barra de ferramentas e sem outras permissões além da substituição da pesquisa.

O Chrome mostra, de facto, um aviso na instalação a indicar que a extensão vai alterar as definições de pesquisa. O que não diz é para onde vão as consultas. Foi essa lacuna que a operação explorou. Quem revê permissões não vê nada de alarmante e, no entanto, passa a existir um servidor externo entre o utilizador e os seus resultados.

O dinheiro vem da sindicação de pesquisas. O Yahoo e o Bing têm programas de parceiros que partilham receitas publicitárias com quem traz tráfego, e os parâmetros de rastreio anexados a cada consulta redirecionada identificam o parceiro a pagar. Encaminhar as pesquisas por um proxy, em vez de as enviar diretamente ao motor de pesquisa, dá aos operadores duas coisas adicionais: visibilidade total sobre o que as pessoas procuram e controlo no servidor sobre o destino de cada consulta.

Esse controlo foi observado diretamente numa extensão, a "Predator Search". Seis consultas idênticas enviadas pelo seu proxy produziram quatro resultados diferentes: resultados normais do Yahoo, páginas de destino alternativas, uma cadeia adicional de redirecionamentos e uma página de erro. A extensão nunca mudou; o comportamento era decidido inteiramente no servidor.

Porque é que importa

Por enquanto, o tráfego analisado foi sobretudo redirecionamento de pesquisas com etiquetas de referência, não phishing nem distribuição de malware. Entregar algo mais nocivo continua a ser uma escalada possível, não um resultado confirmado, e vale a pena manter essa distinção.

Mas a exposição de privacidade já é real. As consultas de pesquisa revelam problemas de saúde, dificuldades financeiras, projetos de trabalho confidenciais e interesses pessoais. Como o intermediário recebe a consulta primeiro, uma página de resultados com aspeto perfeitamente normal nada diz sobre o percurso do pedido. Num ambiente empresarial, isso significa que nomes de projetos internos, nomes de clientes e nomes de código de produtos podem ter passado pelos registos de terceiros.

O modelo de distribuição também explica como passou despercebida. A maioria das extensões não estava listada na Chrome Web Store: acessíveis por ligação direta, invisíveis na pesquisa da loja. Publicidade paga, incluindo popovers e popunders, levava os utilizadores a páginas de destino que promoviam ferramentas de aspeto útil, com botões "Continuar" e "Instalar" que conduziam diretamente à página da extensão. Para um único domínio de destino correram cerca de 400 anúncios a partir de uma conta de anunciante verificada.

A infraestrutura partilhada liga tudo. Um grupo de cerca de 111 extensões e 2,2 milhões de instalações conduz a uma única empresa. Outro, sob a marca SecuryBrowse, abrange 58 extensões e aproximadamente 4,9 milhões de utilizadores. Um grupo mais recente, centrado no Bing, com 37 extensões, lançou atualizações coordenadas em editores supostamente independentes, algo difícil de explicar sem um operador comum. Cruzar fichas da loja, políticas de privacidade, registos de transparência publicitária e dados de varrimento da internet revelou relações que os diferentes nomes de extensões e marcas de editores se destinavam a esconder.

Um último ponto: os domínios sobrevivem às extensões. Quando uma ficha é removida, a infraestrutura de proxy fica muitas vezes online, à espera do pacote seguinte. Seguir a infraestrutura do operador dá uma imagem muito melhor do que verificar se uma determinada ficha ainda está publicada.

O que fazer

Para utilizadores:

• Abra a página de extensões do Chrome e remova tudo o que não reconheça ou já não use.
• Nas Definições, na secção Motor de pesquisa, confirme que o predefinido é o que escolheu. Se aparecer uma entrada "Safe Search", "PDF Search" ou semelhante, elimine-a.
• Desconfie de extensões encontradas através de anúncios e não por pesquisa na loja.

Para organizações:

• Trate a substituição do motor de pesquisa como um sinal por si só. Os processos de revisão de extensões que só olham para permissões vão deixar passar estes pacotes sempre.
• Imponha uma lista de extensões permitidas através de políticas de browser geridas e fixe o fornecedor de pesquisa de forma centralizada.
• Investigue redirecionamentos de pesquisa inexplicados nos postos de trabalho. Procure nos registos de proxy e DNS os indicadores abaixo.
• Cace por infraestrutura, não por ID de extensão. A ficha pode ter desaparecido; os domínios provavelmente não.

A configuração do browser raramente recebe a atenção dada a servidores e perímetro, e no entanto é um caminho direto para o que os colaboradores escrevem o dia inteiro. Os nossos serviços de penetration testing incluem verificações de hardening de postos de trabalho e browsers: se as listas de extensões permitidas são mesmo aplicadas, se o fornecedor de pesquisa pode ser substituído sem ninguém dar por isso, para que falhas deste tipo apareçam num relatório antes de aparecerem nos registos de outra pessoa.

Indicadores de compromisso

Os domínios estão desativados (defanged). Reative-os apenas dentro da sua plataforma de threat intelligence ou SIEM.