Una masiva campaña de malware conocida como “StealTok” involucra al menos 12 extensiones de navegador relacionadas entre sí. Estas extensiones se hacen pasar por descargadores de videos de TikTok, pero en secreto rastrean la actividad de los usuarios y recopilan datos sensibles. La campaña, descubierta por la empresa de seguridad LayerX, ha afectado a más de 130.000 usuarios en todo el mundo, con aproximadamente 12.500 instalaciones aún activas en Google Chrome y Microsoft Edge

Una masiva campaña de malware conocida como “StealTok” involucra al menos 12 extensiones de navegador interrelacionadas. Estas extensiones se hacen pasar por descargadores de videos de TikTok, pero en secreto rastrean la actividad del usuario y recopilan datos sensibles.

La campaña, descubierta por la empresa de seguridad LayerX, ha afectado a más de 130.000 usuarios en todo el mundo, con aproximadamente 12.500 instalaciones aún activas en los mercados de Google Chrome y Microsoft Edge.

Los atacantes utilizan un enfoque altamente organizado, lanzando múltiples clones o versiones ligeramente renombradas de la misma extensión principal.

Esto crea una operación resiliente: cuando una extensión es identificada y eliminada, los actores de amenazas suben un nuevo clon para reemplazarla.

Para ganar la confianza del usuario, las extensiones maliciosas inicialmente funcionan perfectamente como se anuncia, permitiendo a los usuarios descargar videos de TikTok sin marcas de agua.

Muchas de estas herramientas incluso obtuvieron una insignia de “Destacado” en las tiendas oficiales de extensiones, lo que redujo significativamente la sospecha de los usuarios y aumentó el número de descargas.

Lo que hace que esta campaña sea particularmente peligrosa es su uso de la inyección de capacidades con retraso.

Durante los primeros 6 a 12 meses, las extensiones se comportan de manera legítima, construyendo una sólida reputación y pasando las revisiones iniciales de seguridad.

Una vez transcurrido suficiente tiempo, las extensiones se conectan a servidores externos de mando y control para descargar configuraciones remotas dinámicas.

Este mecanismo oculto permite a los atacantes alterar fundamentalmente el comportamiento de la extensión, convirtiendo un inofensivo descargador de videos en una potente herramienta de spyware sin alertar al usuario ni al mercado.

Después de activar las funciones maliciosas, las extensiones comienzan a recopilar silenciosamente una amplia telemetría del usuario.

Monitorean patrones de uso, rastrean el contenido descargado y recopilan datos de alta entropía, como la zona horaria, la configuración de idioma e incluso el estado de la batería del dispositivo.

Al combinar estos puntos de datos específicos, los atacantes pueden crear una “huella digital” altamente precisa del dispositivo del usuario, lo que les permite rastrear al usuario a través de diferentes sesiones web y servicios.

Para ocultar este robo de datos, las extensiones envían la información a dominios engañosos con nombres mal escritos, como “trafficreqort.com”, para evitar una detección casual.

Esta campaña pone de manifiesto una debilidad crítica en la seguridad actual de los navegadores: confiar únicamente en la validación en el momento de la instalación ya no es suficiente.

Dado que estas extensiones utilizan configuraciones remotas para evolucionar, el riesgo real ocurre mucho después de la descarga inicial.

Los expertos en seguridad recomiendan que las organizaciones adopten un monitoreo continuo basado en el comportamiento para detectar actividad de red sospechosa, recolección oculta de datos y uso inesperado de permisos en tiempo real.

Amenazas activas y eliminadas

Los investigadores de LayerX security identificaron varias extensiones específicas involucradas en la campaña StealTok.

En Google Chrome, las amenazas activas incluyen “TikTok Downloader – Save Videos, No Watermark” con 3.000 instalaciones, “TikTok Video Downloader – Bulk Save” con 1.000 instalaciones y “Tiktok Downloader” con 353 instalaciones.

En Microsoft Edge, las extensiones maliciosas activas incluyen “Mass Tiktok Video Downloader” con 77 instalaciones y otra versión llamada “TikTok Downloader – Save Videos, No Watermark” con 47 instalaciones.

Varias versiones muy populares de este malware ya han sido eliminadas de Google Chrome, incluyendo “TikTok Video Keeper”, que había alcanzado 60.000 instalaciones, y “Video Downloader for Tiktok”, que tenía 20.000 instalaciones.

Si tienes alguna de estas extensiones instaladas, los expertos en seguridad recomiendan eliminarlas inmediatamente y cambiar las contraseñas de cuentas sensibles.