Desde mediados de 2025, una operación brasileña utiliza el toolkit KREMLIN para instalar extensiones maliciosas en Chrome y Edge que roban credenciales y datos sensibles sin consentimiento del usuario. El ataque comienza con archivos JavaScript disfrazados de documentos bancarios y emplea contratos inteligentes de Ethereum para gestionar sus cargas útiles. Elastic Security Labs ha identificado más de 1,500 sistemas infectados, principalmente en Brasil, y logró interrumpir la campaña mediante el registro de un dominio estratégico.

Investigadores de Forever Security descubrieron que una extensión de navegador podría tomar el control de los asistentes de IA en Chrome, Edge, Opera Neon, Perplexity Comet y Claude. El fallo permitía a atacantes acceder a archivos locales, usar la cámara o controlar el agente de IA mediante permisos comunes de extensiones. Google y Microsoft ya corrigieron sus vulnerabilidades, mientras que los demás proveedores pagaron recompensas por los hallazgos.

Investigadores detectaron KREMLIN, un malware bancario brasileño que utiliza extensiones maliciosas de Chrome y Edge para robar credenciales y datos sensibles. La operación destaca por usar contratos inteligentes de Ethereum para ocultar su infraestructura de mando y control. El ataque comienza con archivos JavaScript falsos y emplea técnicas avanzadas para evadir sandboxes y sistemas de seguridad.

La extensión maliciosa Twitch Enhanced Viewer | JeetBot filtró tokens de acceso de unos 31,000 usuarios a servidores rusos. Estos tokens permiten acceder a mensajes privados y configuraciones de cuenta sin necesidad de contraseña. El desarrollador lanzó una actualización para corregirlo, pero recomienda desinstalar versiones antiguas ya que los datos enviados previamente siguen expuestos.

Investigadores detectaron 19 extensiones maliciosas de Chrome y Edge diseñadas para robar criptomonedas y datos sensibles. Los atacantes adquieren extensiones legítimas o crean versiones limpias y, tras ganar usuarios, lanzan actualizaciones con malware. Esta campaña, activa desde febrero de 2024, utiliza servidores de control para exfiltrar información y engañar a miles de víctimas.

Se detectaron 737 extensiones de VPN fraudulentas en Chrome que suplantan marcas conocidas para interceptar el tráfico de usuarios, principalmente rusos. Estas herramientas redirigen la navegación a través de servidores controlados por atacantes para espiar datos personales. Además, se reportó el regreso de una extensión de IA que, tras ser eliminada, volvió a aparecer con esquemas de monetización engañosos.

Se detectaron 77 extensiones maliciosas en Open VSX que suplantaban herramientas legítimas para robar datos del sistema y entornos de desarrollo. Estas herramientas exfiltraban desde nombres de host hasta información detallada de repositorios y sistemas de CI hacia un dominio externo. Además, se reportó un ataque de cadena de suministro llamado ChainDrop que afectó a cientos de paquetes npm mediante un gusano robador de credenciales.

uBlock Origin sigue disponible para Brave a pesar del fin de Manifest v2 en Chromium, pudiéndose activar con un solo clic.

Google y Microsoft eliminaron la extensión ModHeader tras descubrirse que contenía un recolector de historial de navegación oculto. Aunque el sistema de extracción de datos estaba inactivo, la herramienta ya rastreaba metadatos y almacenaba encabezados HTTP en el disco. Se recomienda a los usuarios desinstalarla y rotar cualquier clave de API o token de sesión que hayan utilizado con ella.

Chromium retira definitivamente el soporte de Manifest v2, afectando a navegadores como Brave y Vivaldi, lo que provoca la desaparición de uBlock Origin.

Dos extensiones han sido renovadas y vuelven a estar disponibles para el entorno de escritorio Plasma 6.

Se ha detectado una extensión maliciosa en la Chrome Web Store que suplanta a Perplexity AI para interceptar el tráfico de búsqueda y recopilar datos de navegación. Aunque no se ha confirmado el robo de credenciales, la herramienta posee permisos excesivos que podrían facilitar el robo de información sensible. Se recomienda eliminar la extensión con ID "flkebkiofojicogddingbdmcmkpbplcd" y cambiar las contraseñas por precaución.

Microsoft detectó una extensión maliciosa de Chrome que suplantaba a Perplexity AI para registrar las búsquedas y cada carácter escrito en la barra de direcciones. Los datos eran enviados a un servidor controlado por atacantes antes de redirigir al usuario a los resultados reales. Google ya eliminó la herramienta, la cual abusaba de permisos del navegador para recolectar información deliberadamente.

Microsoft detuvo StegoAd, una operación de 119 extensiones maliciosas en Edge que ocultaban código en imágenes y fuentes para evadir detecciones. Estas herramientas robaban credenciales, ejecutaban fraudes publicitarios y afectaron a millones de usuarios desde 2021. La empresa eliminó las extensiones y recomienda cambiar contraseñas y usar claves de seguridad físicas.

Se ha descubierto una nueva y engañosa campaña de malware que utiliza una extensión maliciosa de Microsoft Edge para convertir una herramienta cotidiana en un medio de compromiso del sistema. Según investigadores de seguridad, esta amenaza logra evadir los límites de seguridad integrados del navegador, permitiendo que los atacantes obtengan acceso directo al ordenador de la víctima.

Se ha detectado que la extensión Adblock for YouTube para Chrome, con más de 10 millones de usuarios, posee la capacidad de ejecutar código JavaScript arbitrario de forma remota. Aunque no hay evidencia de ataques actuales, esta vulnerabilidad permitiría robar datos personales y acceder a cuentas sensibles sin necesidad de actualizar la extensión. El riesgo aumenta debido a que la herramienta tiene acceso a todos los sitios web visitados y vínculos con otros complementos eliminados por malware.

Microsoft implementó en VS Code 1.123 un retraso de dos horas en las actualizaciones automáticas de extensiones para prevenir ataques a la cadena de suministro. Esta medida, que no afecta a editores confiables como GitHub u OpenAI, permite detectar versiones maliciosas antes de su instalación. Esta tendencia de seguridad también ha sido adoptada recientemente por herramientas como RubyGems, npm y Yarn.

GitHub confirmó que el 18 de mayo de 2026 sufrió una brecha de seguridad significativa. Unos atacantes utilizaron una extensión maliciosa de Visual Studio Code para comprometer el dispositivo de un empleado y exfiltrar datos de los repositorios internos de código fuente de la compañía. El incidente fue detectado y contenido el mismo lunes por el equipo de seguridad de GitHub tras identificar actividad sospechosa.

Codex se actualiza con una extensión que le permite tomar el control de Chrome en Windows y Mac, permitiendo a la IA operar directamente en la sesión activa para gestionar pestañas y herramientas.

Están comprometiendo a desarrolladores con extensiones maliciosas de VS Code y Cursor AI. Las herramientas de desarrollo utilizadas por millones de programadores en todo el mundo se han convertido en un objetivo principal para los atacantes que buscan comprometer a organizaciones enteras. Visual Studio Code y los IDE impulsados por IA como Cursor AI, combinados con sus mercados de extensiones, presentan una vulnerabilidad crítica en la cadena de suministro de software.