Una campaña de secuestro de búsquedas afectó a 13.4 millones de usuarios a través de 319 extensiones de Chrome que redirigían las consultas hacia Bing y Yahoo para generar ingresos publicitarios. Estas herramientas, que se hacían pasar por convertidores de PDF o herramientas de IA, fueron promovidas mediante anuncios engañosos fuera de la tienda oficial de Google. Aunque actualmente buscan lucro económico, expertos advierten que podrían redirigir a los usuarios hacia sitios de phishing o descargas maliciosas en cualquier momento.





Una masiva campaña de secuestro de búsquedas que involucra 319 extensiones de Chrome, con un total de 13,4 millones de instalaciones reportadas, redirigía las búsquedas de los usuarios a través de servidores de seguimiento para generar ingresos publicitarios de Bing y Yahoo.

Un nuevo informe de John Tuckner, de Socket, amplía el descubrimiento del investigador de abril de 2025 sobre 57 extensiones de Chrome con 6 millones de usuarios, añadiendo 264 complementos recién identificados con otros 8,7 millones de usuarios.

"Estas extensiones fueron creadas por un puñado de operadores organizados que trabajan bajo la misma idea: apoderarse silenciosamente del motor de búsqueda predeterminado del navegador, enrutar cada consulta a través de un servidor proxy sospechoso y cobrar pagos de referidos de socios de Yahoo o Bing bajo un ID de socio de sindicación", explicó Tuckner aquí.

Las extensiones, cuya lista completa se comparte al final del informe de Socket, fingen ser convertidores de PDF, buscadores de manuales, búsquedas seguras y herramientas de búsqueda de IA. Sin embargo, en su mayoría, las extensiones simplemente redirigen las búsquedas de los usuarios a través de una serie de sitios hasta que aterrizan en Bing o Yahoo.

Aunque están alojadas en la Chrome Web Store, el portal oficial de Google para complementos de Chrome, Socket afirma que no están listadas y no aparecen en las búsquedas de los usuarios en la tienda de extensiones.

En su lugar, las extensiones se promocionan a través de anuncios dudosos encontrados en sitios web.

Tuckner explica que muchas de estas extensiones casi no necesitan código para lograr su objetivo, ya que la configuración 'chrome_settings_overrides' integrada de Chrome les permite reemplazar el proveedor de búsqueda predeterminado.

Un ejemplo analizado en el informe incluye solo un manifiesto e iconos, sin scripts de fondo, scripts de contenido ni permisos solicitados.

Las extensiones de secuestro de navegador como estas han desdibujado durante mucho tiempo la línea entre los programas potencialmente no deseados (PUP) y el malware.

El riesgo se extiende más allá del fraude publicitario

Las extensiones se centran actualmente en la generación de ingresos a través de referidos de búsqueda, pasando las búsquedas de los usuarios por un servidor controlado por el operador antes de que lleguen a Yahoo o Bing.

Sin embargo, Tuckner advierte que el destino final puede cambiar en cualquier momento sin actualizar la extensión, incluyendo la redirección de los usuarios a sitios de phishing o descargas maliciosas.

"Los ingresos por referidos de búsqueda son un 'watering hole' rentable mientras el operador del proxy puede esperar a que los datos se acumulen y los objetivos aparezcan antes de redirigirlos a resultados de búsqueda maliciosos o páginas de aterrizaje para phishing u otras descargas maliciosas", explica Tuckner.

Un ejemplo de esto es la extensión Predator Search, que redirigió a Tuckner a cuatro sitios diferentes al realizar seis búsquedas idénticas.

"Seis búsquedas idénticas enviadas a través de su servidor de búsqueda proxy terminaron en cuatro lugares diferentes: directo a Yahoo con etiquetas de socio, una página de aterrizaje en searchlio.net, un salto a través de searchtosearch.com a un segundo dominio de resultados (mcftink.com) antes de Yahoo, y una página de error de Cloudflare", informó Tuckner.

"La extensión nunca cambió; el proxy eligió cada destino a medida que llegaba la búsqueda".

El grupo de extensiones activas más grande recientemente es "Bing-Search", con 37 extensiones y 2,2 millones de usuarios, a menudo promocionadas a través de anuncios de Bidbrain. Otro es la ola "SecuryBrowse", con 58 extensiones y 4,9 millones de usuarios, que promociona complementos temáticos de seguridad como Fire Shield, Securify y WatchTower.

El investigador señaló que la mayoría de estas extensiones habían sido eliminadas de la Chrome Web Store cuando se publicó el informe. Sin embargo, constantemente se añaden nuevas.

Los usuarios deben desinstalar las extensiones enumeradas en el informe de Socket de sus navegadores web, realizar un escaneo completo de antivirus en sus sistemas y evitar descargar herramientas innecesarias y complementos de navegador de editores desconocidos.

Se ha contactado a Google para obtener un comentario sobre los hallazgos de Socket, pero no hemos recibido respuesta hasta la publicación.

Fuente:
BleepingComputer