Un reciente análisis revela que varias extensiones muy populares de Google Chrome exponen a sus usuarios a dos riesgos simultáneos: envían telemetría a través de HTTP sin cifrar y contienen credenciales duras en el propio JavaScript.
Riesgos identificados
Las credenciales incluyen API keys de GA4, Azure, AWS, Tenor o Ramp Network. Investigadores de Symantec STAR detectaron que las peticiones de analítica, desinstalación o identificación se realizan a dominios como rank.trellian.com, browsec-uninstall.s3-website… o g.ceipmsn.com mediante HTTP.
El análisis de código reveló secretos incrustados: claves GA4 para 'spamear' métricas, una key de Azure Speech que podría inflar costes, Access Keys de AWS que posibilitan subir contenido ilícito a S3, y tokens de servicios Web3 que facilitarían transacciones fraudulentas.
Superficie de ataque ampliada
InboxSDK, biblioteca usada por más de 90 extensiones, también aloja credenciales, por lo que la superficie de ataque real es mayor de lo publicado. Casos recientes de secuestro masivo de extensiones (35 plugins comprometidos en diciembre de 2024) demuestran lo fácil que es aprovechar permisos excesivos para robar cookies y tokens de Facebook Business.
Impacto potencial
Los riesgos incluyen el robo de sesiones o perfilado del usuario a través de dominios visitados y UUID del equipo. También se pueden generar costes económicos para los desarrolladores (facturación en Azure/AWS) y manipulación de analíticas. Además, se puede realizar suplantación de peticiones a APIs de terceros para publicar contenido o lanzar campañas de spam.
Recomendaciones de mitigación
- Auditar extensiones revisando chrome://extensions y eliminar los IDs listados arriba.
- Forzar HTTPS filtrando en proxy/WAF cualquier llamada HTTP a dominios de telemetría.
- Rotar y restringir API keys usando backend o vaults; nunca embebidas en el cliente.
- Implementar CSP estrictas para bloquear cargas de scripts remotos y prevenir inyección.
- Aplicar política de mínimos permisos: extensiones solo si son imprescindibles y firmadas.