Un informe reciente publicado por el investigador de seguridad John Tuckner, de la empresa Socket, reveló una campaña a gran escala de secuestro de búsquedas en la que se vieron implicadas 319 extensiones del navegador Google Chrome, con un total de 13,4 millones de descargas. Estas extensiones explotan los permisos del navegador para redirigir las consultas de los usuarios a través de servidores proxy, con el objetivo de generar ingresos publicitarios a través de motores de búsqueda como Bing y Yahoo.
Mecanismo de funcionamiento del secuestro
Estas extensiones se basan en la explotación de la configuración chrome_settings_overrides en el navegador Chrome, lo cual les permite reemplazar el motor de búsqueda predeterminado del usuario sin necesidad de programación compleja. En muchos casos, las extensiones no contienen ningún script en segundo plano ni contenido complejo, sino que se limitan a un archivo de manifiesto (manifest) y unos iconos, lo que facilita su aprobación en la tienda Chrome Web Store.
Estas extensiones se disfrazan de herramientas útiles como convertidores de archivos PDF, herramientas de búsqueda manual o extensiones de búsqueda segura e inteligencia artificial. A pesar de estar alojadas en la tienda oficial de Google, a menudo no están listadas (Unlisted), lo que significa que no aparecen en los resultados de búsqueda dentro de la tienda, y en su lugar se promocionan a través de anuncios engañosos en sitios web externos.
¿Por qué es importante esta noticia?
La gravedad de estas extensiones va más allá del simple fraude publicitario. Los investigadores advierten que los operadores de esta red tienen la capacidad de cambiar el destino de la redirección en cualquier momento sin necesidad de actualizar la propia extensión. Esto significa que los usuarios podrían ser redirigidos repentinamente a sitios de suplantación de identidad (phishing) o páginas que contienen software malicioso, convirtiendo estas extensiones de programas no deseados en herramientas de amenaza directa para la seguridad.
Un análisis técnico de una extensión llamada "Predator Search" demostró que la misma búsqueda puede dar lugar a resultados diferentes cada vez, ya que el usuario es redirigido a través de una cadena de dominios intermediarios antes de llegar al motor de búsqueda final, lo que confirma el control total de los operadores sobre el flujo de datos.
¿Qué deben hacer los usuarios?
Aunque Google ha eliminado la mayoría de estas extensiones tras su descubrimiento, la amenaza sigue presente debido a la aparición constante de nuevas extensiones. Los expertos recomiendan los siguientes pasos:
- Desinstalar inmediatamente cualquier extensión desconocida o de origen dudoso.
- Realizar un análisis completo del sistema utilizando un programa antivirus fiable.
- Evitar descargar extensiones de fuentes no confiables o a través de anuncios emergentes en sitios web.