Investigadores alertan sobre 17 extensiones maliciosas en Chrome, Firefox y Edge con 840.000 instalaciones, que ocultan malware bajo apariencia inofensiva. 

• 17 nuevas extensiones maliciosas de Chrome GhostPoster con más de 840.000 instalaciones roban datos de usuarios

Han distribuido 17 extensiones maliciosas para navegadores en plataformas como Chrome, Firefox y Edge, acumulando más de 840.000 descargas y comprometiendo la seguridad de los usuarios durante años. La campaña GhostPoster, que surgió ya en 2020, utilizó nombres engañosos como “Google Translate al hacer clic derecho”, “Descarga de YouTube” y “Bloqueador de anuncios definitivo” para parecer legítimas mientras robaban datos en segundo plano.

Usuarios de Chrome, Firefox y Edge han estado descargando extensiones que parecían inofensivas, pero en realidad escondían 'malware'. El riesgo afecta a cientos de miles. 

Pese a que acaba de iniciar el año, no cabe duda de que no hay tiempo que perder en lo que a ciberataques se refiere y, tal y como se ha podido conocer, se han detectado 17 extensiones maliciosas que se instalaron en total 840.000 veces en Chrome, Firefox y Edge, y que todavía pueden estar activas en muchos ordenadores.

El ataque forma parte de la campaña llamada GhostPoster, detectada por primera vez en diciembre por el equipo de Koi Security. Estas extensiones parecían ser bastante normales y útiles, ya que servían como traductores, bloqueadores de anuncios o descargadores de contenido, pero escondían código JavaScript malicioso dentro de las imágenes de sus iconos.

Ese código permitía espiar lo que el usuario hacía por internet, redirigir enlaces de afiliados y ejecutar estafas publicitarias sin que nadie les viese o se diesen cuenta.

Los expertos explican que el malware podía inyectar iframes ocultos en páginas que se visitaban y controlar la actividad online del usuario sin que este lo notara. Además, se conectaba a servidores externos para seguir mejorando su complejidad y efectividad.

El origen de la campaña se rastrea primero en Microsoft Edge, y luego se expandió a Firefox y Chrome. Algunas extensiones maliciosas estuvieron disponibles desde 2020.

Con esto sobre la mesa, extensiones como Google Translate in Right Click acumularon más de 522.000 instalaciones, mientras que otras más pequeñas, como Page Screenshot Clipper, llegaron a 86 usuarios. El truco de que haya afectado a tantos es bastante claro. Al final estaban ofreciendo servicios en forma de extensión que realmente eran muy útiles.

Por tu seguridad, esta es la lista al completo de extensiones afectadas: Google Translate in Right Click; Translate Selected Text with Google; Ads Block Ultimate; Floating Player – PiP Mode; Convert Everything; Youtube Download; One Key Translate; AdBlocker: Save Image to Pinterest on Right Click; Instagram Downloader; RSS Feed; Cool Cursor; Full Page Screenshot; Amazon Price History; Color Enhancer; Translate Selected Text with Right Click; Page Screenshot Clipper.

Cómo funcionan estas extensiones maliciosas

De forma simple, y pare comprender realmente cómo opera este malware, en lugar de guardar el código malicioso directamente, lo oculta en imágenes o en archivos que el navegador interpreta como normales. Luego, un script en segundo plano extrae el código, lo decodifica y lo ejecuta sin que el usuario lo note.

En el caso de la extensión Instagram Downloader, la técnica evolucionó: el código malicioso ahora se esconde en un archivo de imagen dentro de la extensión y se activa mediante un script que escanea los bytes de esa imagen. Según LayerX, esto permite dormir durante semanas o meses antes de activarse.

Por otro lado, comentar que, aunque algunas extensiones fueron eliminadas de las tiendas de Mozilla y Microsoft, los usuarios que las instalaron previamente siguen expuestos. Esto significa que borrar la extensión o hacer un análisis de antivirus es vital.

En cuanto a lo que podría ocurrirte a ti como usuario afectado, mencionar que este malware no solo se hace con tus datos, sino que también puede cambiar la navegación y redirigir compras online.

Los expertos recomiendan revisar las extensiones instaladas, eliminar las sospechosas y tener siempre actualizado el navegador.

Por último, y en cuanto a la propia responsabilidad de las compañías, tras la alerta, Google ya ha confirmado que todas las extensiones maliciosas ya se han eliminado de la Chrome Web Store, y Mozilla y Microsoft han hecho exactamente lo mismo en sus tiendas.

Sin embargo, de nuevo alertar y matizar que el daño ya está hecho y el riesgo sigue existiendo pese a que ya estén eliminadas. Son muchos los PC que ya las descargaron.