Investigadores de DomainTools han identificado más de un centenar de sitios web falsos que desde febrero de 2024 distribuyen extensiones para Chrome. Estas extensiones parecen legítimas y ofrecen funcionalidades como IA generativa, VPN, análisis web o criptomonedas.
Características de las extensiones maliciosas
Son capaces de espiar y tomar control del navegador. Las extensiones cumplen al menos parcialmente lo prometido, pero en segundo plano contactan con servidores del atacante para enviar información del sistema, recibir instrucciones y ejecutar código arbitrario.
Evitando la revisión de Chrome Web Store
Para evadir la revisión de la Chrome Web Store, abusan de permisos excesivos como declarativeNetRequest, cookies, tabs o scripting, aplicando reglas dinámicas tras su instalación.
Infraestructura compartida entre las extensiones
Todas comparten una infraestructura coherente: dominios registrados en NameSilo y servidos vía Cloudflare que actúan como señuelo y como API. El código malicioso está ofuscado en background.js, donde se “cose” un único dominio de mando, y se utiliza un token JWT firmado con HMAC-SHA256, la propia ID de la extensión como clave secreta, para autenticar la sesión.
Metodología de entrega del payload
El payload se codifica en Base64 y se entrega por WebSocket. Varias muestras emplean un truco poco común: crean un elemento DOM temporal y disparan el evento onreset, lo que les permite saltarse la Content Security Policy.
Ejemplos de extensiones analizadas
- Manus AI
- FortiVPN Client
- SiteStats
Entre los ejemplos analizados destacan Manus AI, FortiVPN Client y SiteStats. Todos ellos filtran cookies completas, inyectan anuncios o redirigen tráfico y pueden convertir el navegador en un proxy inverso controlado por el atacante.
Riesgos asociados a las extensiones maliciosas
- Espiar y tomar control del navegador.
- Enviar información del sistema al atacante.
- Ejecutar código arbitrario.
- Convertir el navegador en un proxy inverso controlado por el atacante.
- Inyectar anuncios.
- Redirigir tráfico.
Pese a que Google ha retirado algunas variantes, la campaña sigue activa y evoluciona rápidamente.