Un estudio reciente ha revelado que extensiones de navegador instaladas en casi un millón de dispositivos están debilitando las protecciones de seguridad para convertirse en herramientas que rastrean sitios web en nombre de clientes de pago. Estas extensiones, disponibles para Chrome, Firefox y Edge, han acumulado más de 909.000 descargas.
Monetización mediante el rastreo de sitios web
Según John Tuckner, investigador de SecurityAnnex, las extensiones incluyen una biblioteca JavaScript llamada MellowTel-js, que permite a los desarrolladores monetizar sus extensiones. Esta biblioteca se utiliza para realizar tareas como la gestión de marcadores y portapapeles, la subida del volumen de altavoces o la generación de números aleatorios.
Tuckner descubrió que MellowTel está vinculado a Olostep, una empresa que se autoproclama como «la API de scraping web más fiable y rentable del mundo». Esta empresa ofrece servicios que permiten acceder a páginas web específicas mediante la base instalada de usuarios de extensiones.
Riesgos para los usuarios
El uso de MellowTel implica un riesgo significativo para los usuarios, ya que activa un websocket que se conecta a un servidor de AWS. Este websocket recopila información como la ubicación del usuario, el ancho de banda disponible y el estado de la extensión.
Además, MellowTel inyecta un iframe oculto en las páginas web que el usuario está viendo. Este iframe conecta con una lista de sitios web especificados por el servidor de AWS, lo cual puede exponer a los usuarios a ataques como el Cross-site Scripting.
Tuckner señaló que la biblioteca modifica dinámicamente las reglas de seguridad de los servidores web, eliminando encabezados como Content-Security-Policy y X-Frame-Options, lo cual debilita la protección contra ataques.
Impacto en la privacidad y la confianza del usuario
MellowTel también representa un riesgo para las redes empresariales que restringen estrictamente los tipos de código que pueden ejecutarse. Los usuarios finales deben confiar en MellowTel para verificar la seguridad y confiabilidad de cada sitio al que acceden, lo cual puede cambiar con un solo ataque a un sitio web.
El descubrimiento recuerda a otro caso de 2019 donde extensiones de navegador instaladas en 4 millones de dispositivos recopilaban datos privados de usuarios y los compartían con clientes de Nacho Analytics, que dejó de operar tras la revelación del incidente.
Estado actual de las extensiones afectadas
Según Tuckner, el estado más reciente de las extensiones afectadas es:
- De las 45 extensiones de Chrome conocidas, 12 están inactivas. Algunas se eliminaron explícitamente por malware.
- De las 129 extensiones de Edge que incorporan la biblioteca, ocho están inactivas.
- De las 71 extensiones de Firefox afectadas, dos están inactivas. Algunas se eliminaron explícitamente por malware.
- Otras eliminaron la biblioteca en actualizaciones más recientes.