319 extensii Chrome au redirecționat în tăcere căutările a 13,4 milioane de utilizatori

O familie extinsă de extensii Chrome a fost asociată cu deturnarea căutărilor la o scară rar întâlnită în ecosistemul browserelor: 319 add-on-uri, cu o amprentă cumulată de aproximativ 13,4 milioane de instalări acumulate din 2016 încoace. Extensiile se prezentau drept convertoare PDF, căutătoare de manuale, instrumente de „căutare sigură” sau asistenți de căutare cu AI. Ce făceau de fapt era mai simplu și mai discret: înlocuiau motorul de căutare implicit al browserului cu un proxy controlat de operatori, astfel încât fiecare interogare făcea un ocol înainte să ajungă la Yahoo sau Bing.

O precizare importantă de la început. Cifra de 13,4 milioane este cumulată pe ani de activitate, nu numărul persoanelor afectate în acest moment. Cel mai recent lot analizat cuprinde 264 de extensii cu aproximativ 8,7 milioane de instalări; restul provine din valuri anterioare.

Ce s-a întâmplat

Trucul se bazează pe o funcție legitimă a Chrome. Manifestul unei extensii poate declara o intrare chrome_settings_overrides.search_provider, care îi spune browserului să folosească un nou motor de căutare implicit. Atât le-a trebuit. Mai multe dintre pachetele analizate nu conțineau nimic altceva decât fișierul manifest și trei pictograme: fără service worker în fundal, fără scripturi de conținut, fără buton în bara de instrumente și fără alte permisiuni în afara suprascrierii căutării.

Chrome afișează, într-adevăr, un avertisment la instalare că extensia va modifica setările de căutare. Nu spune însă unde vor ajunge interogările. Exact această lacună a fost exploatată. Un evaluator care verifică permisiunile nu vede nimic alarmant, dar între utilizator și rezultatele căutării se află acum un server străin.

Banii vin din sindicalizarea căutărilor. Yahoo și Bing au programe de parteneriat care împart veniturile din publicitate cu cei care aduc trafic, iar parametrii de urmărire atașați fiecărei interogări redirecționate identifică partenerul plătit. Trecerea căutărilor printr-un proxy, în loc de trimiterea directă la motorul de căutare, le oferă operatorilor două lucruri în plus: vizibilitate completă asupra a ceea ce caută oamenii și control pe server asupra destinației fiecărei interogări.

Acest control a fost observat direct la una dintre extensii, „Predator Search”. Șase interogări identice trimise prin proxy-ul ei au produs patru rezultate diferite: rezultate Yahoo obișnuite, pagini de destinație alternative, un lanț suplimentar de redirecționări și o pagină de eroare. Extensia nu s-a schimbat deloc; comportamentul a fost decis integral pe server.

De ce contează

Deocamdată, traficul analizat a fost în mare parte redirecționare de căutări cu etichete de referral, nu phishing sau livrare de malware. Livrarea a ceva mai periculos rămâne o escaladare posibilă, nu un rezultat confirmat, iar distincția merită păstrată.

Expunerea de confidențialitate este însă reală de pe acum. Interogările de căutare dezvăluie probleme de sănătate, dificultăți financiare, proiecte de lucru confidențiale și interese personale. Pentru că intermediarul primește interogarea primul, o pagină de rezultate care arată perfect normal nu spune nimic despre traseul cererii. Într-un mediu corporativ, asta înseamnă că nume de proiecte interne, nume de clienți și nume de cod ale produselor pot fi trecut prin jurnalele unui terț.

Modelul de distribuție explică și cum a rămas operațiunea neobservată. Majoritatea extensiilor erau nelistate în Chrome Web Store: accesibile printr-un link direct, invizibile în căutarea din magazin. Publicitatea plătită, inclusiv popovere și popundere, aducea utilizatorii pe pagini de destinație care promovau instrumente aparent utile, cu butoane „Continuă” și „Instalează” care duceau direct la pagina extensiei. Pentru un singur domeniu de destinație au rulat aproximativ 400 de anunțuri dintr-un cont de advertiser verificat.

Infrastructura comună leagă totul. Un cluster de circa 111 extensii și 2,2 milioane de instalări duce la o singură companie. Un altul, sub marca SecuryBrowse, acoperă 58 de extensii și aproximativ 4,9 milioane de utilizatori. Un grup mai nou, axat pe Bing, de 37 de extensii, a lansat actualizări coordonate la editori aparent fără legătură, lucru greu de explicat fără un operator comun. Corelarea listărilor din magazin, a politicilor de confidențialitate, a registrelor de transparență publicitară și a datelor de scanare a internetului a scos la iveală relații pe care numele diferite de extensii și brandurile de editori erau menite să le ascundă.

Un ultim aspect: domeniile supraviețuiesc extensiilor. Când o listare este eliminată, infrastructura de proxy rămâne adesea online, așteptând următorul pachet. Urmărirea infrastructurii operatorului oferă o imagine mult mai bună decât verificarea unei singure listări.

Ce e de făcut

Pentru utilizatori:

• Deschide pagina de extensii din Chrome și elimină tot ce nu recunoști sau nu mai folosești.
• În Setări, la secțiunea Motor de căutare, verifică dacă motorul implicit este cel ales de tine. Dacă apare o intrare „Safe Search”, „PDF Search” sau ceva similar, șterge-o.
• Fii sceptic față de extensiile găsite prin reclame, nu prin căutare în magazin.

Pentru organizații:

• Tratează suprascrierea motorului de căutare ca pe un semnal în sine. Procesele de evaluare a extensiilor care se uită doar la permisiuni vor lăsa aceste pachete să treacă de fiecare dată.
• Impune o listă de extensii permise prin politici de browser gestionate centralizat și fixează furnizorul de căutare implicit.
• Investighează redirecționările de căutare neexplicate pe stațiile de lucru. Caută în jurnalele de proxy și DNS indicatorii de mai jos.
• Vânează după infrastructură, nu după ID-ul extensiei. Listarea poate să fi dispărut; domeniile, probabil, nu.

Configurația browserului primește rareori atenția acordată serverelor și perimetrului, deși este o cale directă către tot ce tastează angajații toată ziua. Angajamentele noastre de penetration testing includ verificări de hardening pentru stații de lucru și browsere: dacă listele de extensii permise sunt chiar aplicate, dacă furnizorul de căutare poate fi înlocuit pe neobservate, astfel încât asemenea lacune să apară într-un raport înainte să apară în jurnalele altcuiva.

Indicatori de compromitere

Domeniile sunt defangate. Refă-le doar în platforma ta de threat intelligence sau în SIEM.