Una versión maliciosa de la extensión Claude Code de Anthropic estuvo disponible durante 11 horas en el marketplace de Cursor, afectando a unos 5,000 desarrolladores. El malware buscaba instalar puertas traseras SSH para obtener acceso remoto y recolectar datos del sistema, aunque errores de código limitaron su efectividad en muchos casos. Cursor ya eliminó la extensión y cerró temporalmente su tienda para auditar la seguridad y mitigar el ataque.

Una campaña de secuestro de búsquedas afectó a 13.4 millones de usuarios a través de 319 extensiones de Chrome que redirigían las consultas hacia Bing y Yahoo para generar ingresos publicitarios. Estas herramientas, que se hacían pasar por convertidores de PDF o herramientas de IA, fueron promovidas mediante anuncios engañosos fuera de la tienda oficial de Google. Aunque actualmente buscan lucro económico, expertos advierten que podrían redirigir a los usuarios hacia sitios de phishing o descargas maliciosas en cualquier momento.

Investigadores detectaron 16 extensiones maliciosas de Firefox que roban claves privadas y frases de recuperación de billeteras de criptomonedas. Estos complementos se hacían pasar por herramientas útiles y clones de billeteras como Rabby y OKX para enviar datos a servidores externos. Aunque ya fueron eliminados, se recomienda a los usuarios afectados crear nuevas billeteras y trasladar sus activos inmediatamente.

Desde mediados de 2025, una operación brasileña utiliza el toolkit KREMLIN para instalar extensiones maliciosas en Chrome y Edge que roban credenciales y datos sensibles sin consentimiento del usuario. El ataque comienza con archivos JavaScript disfrazados de documentos bancarios y emplea contratos inteligentes de Ethereum para gestionar sus cargas útiles. Elastic Security Labs ha identificado más de 1,500 sistemas infectados, principalmente en Brasil, y logró interrumpir la campaña mediante el registro de un dominio estratégico.

Investigadores de Forever Security descubrieron que una extensión de navegador podría tomar el control de los asistentes de IA en Chrome, Edge, Opera Neon, Perplexity Comet y Claude. El fallo permitía a atacantes acceder a archivos locales, usar la cámara o controlar el agente de IA mediante permisos comunes de extensiones. Google y Microsoft ya corrigieron sus vulnerabilidades, mientras que los demás proveedores pagaron recompensas por los hallazgos.

Investigadores detectaron KREMLIN, un malware bancario brasileño que utiliza extensiones maliciosas de Chrome y Edge para robar credenciales y datos sensibles. La operación destaca por usar contratos inteligentes de Ethereum para ocultar su infraestructura de mando y control. El ataque comienza con archivos JavaScript falsos y emplea técnicas avanzadas para evadir sandboxes y sistemas de seguridad.

La extensión maliciosa Twitch Enhanced Viewer | JeetBot filtró tokens de acceso de unos 31,000 usuarios a servidores rusos. Estos tokens permiten acceder a mensajes privados y configuraciones de cuenta sin necesidad de contraseña. El desarrollador lanzó una actualización para corregirlo, pero recomienda desinstalar versiones antiguas ya que los datos enviados previamente siguen expuestos.

Investigadores detectaron 19 extensiones maliciosas de Chrome y Edge diseñadas para robar criptomonedas y datos sensibles. Los atacantes adquieren extensiones legítimas o crean versiones limpias y, tras ganar usuarios, lanzan actualizaciones con malware. Esta campaña, activa desde febrero de 2024, utiliza servidores de control para exfiltrar información y engañar a miles de víctimas.

Se detectaron 737 extensiones de VPN fraudulentas en Chrome que suplantan marcas conocidas para interceptar el tráfico de usuarios, principalmente rusos. Estas herramientas redirigen la navegación a través de servidores controlados por atacantes para espiar datos personales. Además, se reportó el regreso de una extensión de IA que, tras ser eliminada, volvió a aparecer con esquemas de monetización engañosos.

Se detectaron 77 extensiones maliciosas en Open VSX que suplantaban herramientas legítimas para robar datos del sistema y entornos de desarrollo. Estas herramientas exfiltraban desde nombres de host hasta información detallada de repositorios y sistemas de CI hacia un dominio externo. Además, se reportó un ataque de cadena de suministro llamado ChainDrop que afectó a cientos de paquetes npm mediante un gusano robador de credenciales.

uBlock Origin sigue disponible para Brave a pesar del fin de Manifest v2 en Chromium, pudiéndose activar con un solo clic.

Google y Microsoft eliminaron la extensión ModHeader tras descubrirse que contenía un recolector de historial de navegación oculto. Aunque el sistema de extracción de datos estaba inactivo, la herramienta ya rastreaba metadatos y almacenaba encabezados HTTP en el disco. Se recomienda a los usuarios desinstalarla y rotar cualquier clave de API o token de sesión que hayan utilizado con ella.

Chromium retira definitivamente el soporte de Manifest v2, afectando a navegadores como Brave y Vivaldi, lo que provoca la desaparición de uBlock Origin.

Dos extensiones han sido renovadas y vuelven a estar disponibles para el entorno de escritorio Plasma 6.

Se ha detectado una extensión maliciosa en la Chrome Web Store que suplanta a Perplexity AI para interceptar el tráfico de búsqueda y recopilar datos de navegación. Aunque no se ha confirmado el robo de credenciales, la herramienta posee permisos excesivos que podrían facilitar el robo de información sensible. Se recomienda eliminar la extensión con ID "flkebkiofojicogddingbdmcmkpbplcd" y cambiar las contraseñas por precaución.

Microsoft detectó una extensión maliciosa de Chrome que suplantaba a Perplexity AI para registrar las búsquedas y cada carácter escrito en la barra de direcciones. Los datos eran enviados a un servidor controlado por atacantes antes de redirigir al usuario a los resultados reales. Google ya eliminó la herramienta, la cual abusaba de permisos del navegador para recolectar información deliberadamente.

Microsoft detuvo StegoAd, una operación de 119 extensiones maliciosas en Edge que ocultaban código en imágenes y fuentes para evadir detecciones. Estas herramientas robaban credenciales, ejecutaban fraudes publicitarios y afectaron a millones de usuarios desde 2021. La empresa eliminó las extensiones y recomienda cambiar contraseñas y usar claves de seguridad físicas.

Se ha descubierto una nueva y engañosa campaña de malware que utiliza una extensión maliciosa de Microsoft Edge para convertir una herramienta cotidiana en un medio de compromiso del sistema. Según investigadores de seguridad, esta amenaza logra evadir los límites de seguridad integrados del navegador, permitiendo que los atacantes obtengan acceso directo al ordenador de la víctima.

Se ha detectado que la extensión Adblock for YouTube para Chrome, con más de 10 millones de usuarios, posee la capacidad de ejecutar código JavaScript arbitrario de forma remota. Aunque no hay evidencia de ataques actuales, esta vulnerabilidad permitiría robar datos personales y acceder a cuentas sensibles sin necesidad de actualizar la extensión. El riesgo aumenta debido a que la herramienta tiene acceso a todos los sitios web visitados y vínculos con otros complementos eliminados por malware.

Microsoft implementó en VS Code 1.123 un retraso de dos horas en las actualizaciones automáticas de extensiones para prevenir ataques a la cadena de suministro. Esta medida, que no afecta a editores confiables como GitHub u OpenAI, permite detectar versiones maliciosas antes de su instalación. Esta tendencia de seguridad también ha sido adoptada recientemente por herramientas como RubyGems, npm y Yarn.