Google y Microsoft eliminaron la extensión ModHeader tras descubrirse que contenía un recolector de historial de navegación oculto. Aunque el sistema de extracción de datos estaba inactivo, la herramienta ya rastreaba metadatos y almacenaba encabezados HTTP en el disco. Se recomienda a los usuarios desinstalarla y rotar cualquier clave de API o token de sesión que hayan utilizado con ella.

Google y Microsoft han eliminado ModHeader, una popular extensión de edición de cabeceras con aproximadamente 1,6 millones de instalaciones en Chrome y Edge, después de que unos investigadores encontraran un recolector de historial de navegación oculto integrado en su versión de la tienda oficial.

El recolector estaba inactivo. Una lista de permitidos vacía lo mantenía apagado, y no ha surgido ninguna prueba de que haya recopilado o enviado un solo dominio de navegación.

El análisis provino de Stripe OLT, una firma de seguridad del Reino Unido, que comprobó el código comparándolo con la firma de la Web Store de Google y confirmó que el recolector venía dentro de la extensión genuina, no de una falsificación.

Su revisión cubre la versión de Chrome y sus aproximadamente 900.000 usuarios; los rastreadores de terceros sitúan otros 700.000 aproximadamente en Edge. Microsoft retiró el anuncio de Edge el 3 de julio, y Google eliminó el de Chrome una semana después, el 10 de julio.

La versión 7.0.18 (ID de extensión idgpnmonknjnojddfkpgkljpfnnfcklj) sigue editando las cabeceras HTTP según lo anunciado. El mismo código de fondo minificado también contiene un segundo sistema. En la primera ejecución, crea una huella digital del dispositivo y carga una clave de cifrado predefinida. Mientras navegas, toma el dominio de cada página que abres, lo cifra y lo almacena localmente, hasta 1.000 dominios distintos.

Una vez al día, un programador agrupa la lista cifrada con tu huella digital, la envía a api.stanfordstudies[.]com y borra la copia local. El tiempo de carga está desplazado por instalación, por lo que los navegadores que lo ejecutan no emitirían la señal todos a la vez si el recolector estuviera activado. Desgloses independientes, realizados por HackIndex en la versión 7.0.18 y el investigador Yunus Aydin en la 7.0.17, describen el mismo proceso.

El recolector funciona solo si tu navegador coincide con una entrada en una lista de permitidos interna, y esa lista se envía vacía. La comprobación falla siempre, por lo que el proceso se detiene antes de recolectar un solo dominio. Rellenar esa lista es un cambio menor, sin nuevos permisos y sin necesidad de que hagas clic, entregado como una actualización rutinaria. La clave predefinida, la URL del endpoint, el programador y la lógica de almacenamiento ya están en la máquina.

No todo estaba dormido. Al instalar, actualizar y desinstalar, la extensión contactaba con un segundo dominio, extensions-hub[.]com, con el producto, la versión y el navegador. Y un script que se ejecuta en cada página ya había registrado metadatos de solicitudes reales en el almacenamiento local en texto plano, por lo que esa parte claramente había estado funcionando.

Los comprobadores automatizados habían calificado a ModHeader como de bajo riesgo, algunos incluso con un 95 sobre 100. Cada parte del diseño puede frustrar un tipo diferente de comprobación. Los datos están cifrados, por lo que un escáner ve texto cifrado. La carga está bloqueada, por lo que un sandbox no ve salir nada.

El código malicioso está minificado dentro de una base de código legítima. Los endpoints no tenían una reputación maliciosa establecida para ser marcados. Y una extensión popular y firmada se lee como confiable. Una firma de la tienda demuestra de dónde vino un archivo, no qué hace.

Donde conducen los dominios

Stripe OLT vinculó los dominios con una infraestructura real y mantenida. stanfordstudies[.]com no tiene vínculo con Stanford; es un antiguo dominio reutilizado que sirve de fachada para un backend de OpenSearch, mientras que extensions-hub[.]com está configurado para publicidad.

Los dos endpoints de la API resolvían al mismo servidor de Amazon en el momento del análisis, lo que encaja con un solo operador sin demostrarlo. Un puñado de señales débiles apuntan vagamente hacia un operador que habla chino: una configuración regional de chino simplificado, un marcador "salt" escrito con el carácter 盐 y un proveedor de correo originario de China. Los investigadores no nombran a ningún grupo, y nosotros tampoco.

Las señales de advertencia llegaron antes. ModHeader recibió quejas por inyectar anuncios en los resultados de búsqueda en 2023 y, según se informa, empezó a basarse en anuncios por esa época. No se ha confirmado quién tomó el control, y los investigadores no hacen ninguna afirmación sobre el autor original.

El propio sitio de ModHeader sigue publicando un plan de anuncios que dice que no recolecta datos de usuario (https://modheader.com/articles/ad-supported-plan), lo cual es difícil de conciliar con un recolector de historial de navegación integrado, aunque esté apagado. El desarrollador no ha respondido públicamente a los hallazgos hasta la fecha de publicación.

The Hacker News ha contactado a ModHeader para obtener comentarios y ha planteado más preguntas a Stripe OLT, y actualizará esta historia con cualquier respuesta.

En 2021, Brian Krebs describió (https://krebsonsecurity.com/2021/03/is-your-browser-extension-a-botnet-backdoor/) cómo extensiones populares son compradas silenciosamente y convertidas en conductos de datos. Esto se asemeja a ese patrón, ahora con cifrado y una puerta que impide que los escáneres vean la carga. Solo este año, se detectó que una serie de extensiones de Chrome recolectaban datos bajo la etiqueta de "analítica anónima", y otro conjunto suplantaba a Workday y NetSuite para robar cookies de sesión. Los editores de cabeceras y los gestores de cookies necesitan un acceso amplio para funcionar, y cuando la confianza se rompe, el radio de impacto es amplio.

Qué hacer

Si tienes ModHeader, elimínalo de Chrome y Edge; es posible que tu navegador ya lo haya desactivado. Desinstalarlo borra sus datos almacenados, por lo que debes comprobar que la sincronización del perfil o una política de extensiones gestionada no lo vuelvan a instalar.

Si pegaste secretos en él, claves API, tokens de portador y cookies de sesión, cámbialos (rotalos), ya que los investigadores descubrieron que su función de historial de cabeceras almacenaba cabeceras HTTP completas en el disco.

Para los defensores, bloqueen y registren stanfordstudies[.]com y extensions-hub[.]com en el DNS y el proxy, y busquen en los registros el ID de la extensión y cualquier POST a api.stanfordstudies[.]com/app/log. Stripe OLT publicó consultas de búsqueda KQL listas para ejecutar (https://stripeolt.com/knowledge-hub/threat-research/chrome-extension-hidden-data-exfiltration-900k-users/) para Defender y Sentinel.

Las eliminaciones solucionan el problema de esta extensión. El diseño es la parte que debería preocupar a la gente: un recolector completo y verificado por la tienda estaba dentro de una herramienta popular y confiable, aparentemente construida para activarse una vez que una actualización ordinaria rellenara la lista vacía. Los escáneres automatizados lo calificaron como de bajo riesgo, y la próxima herramienta construida de esta manera podría parecer igual de limpia.

La lección práctica es concreta: la revisión de extensiones debe vigilar las rutas de código dormidas que las pruebas nunca activan, los nuevos endpoints de contacto y la capacidad que una actualización rutinaria puede añadir tras un cambio de manos.

Fuente:
THN