MADRID 30 out. (Portaltic/EP) -
Um pesquisador de segurança identificou um total de 319 extensões maliciosas do navegador Chrome que, instaladas por 13,4 milhões de usuários, manipulam as buscas, utilizando-as para capturar consultas por meio de um servidor proxy suspeito e cobrar comissões por referências do Yahoo e do Bing.
Foi o que revelou John Tuckner, especialista da empresa de segurança cibernética Socket, em um novo relatório que amplia um estudo anterior publicado em abril de 2025, no qual detalha ter encontrado 264 novas extensões maliciosas recém-identificadas, que afetam mais 8,7 milhões de usuários em todo o mundo.
Especificamente, essas extensões são criadas por um grupo de “operadores organizados” com a intenção de assumir o controle do mecanismo de busca padrão do navegador e, em seguida, redirecionar as consultas dos usuários por meio de um servidor proxy suspeito para, por fim, receber pagamentos por indicações de parceiros do Yahoo ou do Bing, utilizando um identificador de parceiro de sindicação.
Conforme explicou Tuckner em um comunicado, essas extensões maliciosas não são facilmente identificadas; na verdade, elas estão ocultas na Chrome Web Store com nomes pouco chamativos, como “Safe Web Search” ou “PDF Manual Finder”. No entanto, os cibercriminosos as divulgam por meio de publicidade paga, especificamente através do Google Ads ou do Bidbrain, entre outras ferramentas.
Portanto, ao instalar alguma dessas extensões no navegador, todas as buscas realizadas pelos usuários ficam registradas. Isso ocorre porque a extensão faz com que as buscas passem primeiro pelo serviço do operador mal-intencionado e, assim, ele pode visualizar todo o histórico de buscas, que geralmente está vinculado a um identificador único.
Uma vez capturadas as consultas, o operador decide onde o processo termina, redirecionando a busca por meio de um servidor proxy, “de forma semelhante a um sistema de distribuição de tráfego”.
Atualmente, os pesquisadores afirmaram que, nos casos estudados, o proxy leva a resultados reais no Yahoo e no Bing. No entanto, eles alertaram que os cibercriminosos poderiam utilizar uma sequência específica de pesquisa ou a localização geográfica do cliente para exibir como resultado uma página de “phishing”, uma página de resultados falsos ou uma isca de “malware”.
COMO ELES MONETIZAM A PESQUISA
Portanto, por enquanto, o objetivo final dos cibercriminosos é gerar receita por meio dos links de pesquisa. Para isso, como eles redirecionam as buscas sequestradas dos usuários para seu próprio servidor proxy, antes que cheguem ao Yahoo ou ao Bing, utilizam esse redirecionamento para obter receita, por meio dos programas de sindicação de busca do Yahoo e da Microsoft.
“A receita proveniente de referências de busca constitui uma fonte lucrativa de renda, enquanto o operador do proxy pode aguardar que os dados se acumulem e os alvos apareçam antes de redirecionar para resultados de busca maliciosos ou páginas de destino para ‘phishing’ ou outros downloads maliciosos”, explicou o pesquisador.
SURGEM NOVOS DOMÍNIOS
Vale ressaltar que, conforme foi constatado, mesmo que as extensões sejam removidas da Chrome Web Store, “novos domínios e iscas surgem rapidamente”. De fato, foi comprovado que esse método de extensões maliciosas vem sendo utilizado continuamente há uma década.
Portanto, a Socket concluiu alertando os usuários de que “uma extensão cuja única função é interceptar pesquisas que os usuários poderiam ter feito de qualquer maneira, que está deliberadamente oculta à indexação, promovida por meio de anúncios de baixo valor e que não oferece nenhum valor adicional, deve ser considerada maliciosa por definição”.
Assim, na lista completa de extensões identificadas pela empresa de segurança, aparecem diversas extensões que se passam por conversores de PDF, buscadores manuais, ferramentas de pesquisa segura ou ferramentas de pesquisa com inteligência artificial (IA).
Esta notícia foi traduzida por um tradutor automático