Uma investigação revelou que 319 extensões do Chrome estão ligadas a um esquema de hijacking de buscas, afetando aproximadamente 13,4 milhões de usuários ao longo de uma década. Essas extensões, que se apresentavam como conversores de PDF, ferramentas de busca seguras e auxiliares de busca com inteligência artificial, redirecionam consultas através de servidores controlados por operadores antes de encaminhar os usuários para resultados do Yahoo ou Bing. O estudo foi realizado pela Socket.dev e publicado em 29 de outubro de 2026.
O modelo de negócios dessas extensões transforma buscas comuns em receita de referência, ao mesmo tempo em que expõe as consultas a um intermediário. A técnica central utilizada é a configuração chrome_settings_overrides.search_provider do Chrome, que permite que uma extensão substitua o mecanismo de busca padrão. Um exemplo analisado, a extensão Safe Game Search, continha apenas um manifesto e três ícones, sem scripts de fundo ou permissões além da configuração de busca.
Embora o Chrome exiba um aviso sobre a alteração das configurações de busca durante a instalação, a Socket.dev aponta que essa notificação não explica claramente para onde as consultas são enviadas, criando uma lacuna na detecção. Isso significa que uma extensão pode parecer inofensiva durante a revisão de permissões, mas ainda assim colocar um servidor externo entre os usuários e os resultados de busca.
Os operadores dessas extensões ganham dinheiro por meio de programas de sindicação de busca, que compartilham a receita publicitária com parceiros que fornecem tráfego. Os parâmetros de rastreamento identificam qual parceiro recebe crédito. Um caso ilustrativo foi o da extensão Predator Search, que demonstrou controle do lado do servidor, onde seis consultas idênticas resultaram em quatro desfechos diferentes, incluindo resultados do Yahoo e páginas de erro.
A pesquisa também revelou que a maioria das extensões identificadas não estava listada na Chrome Web Store, mas suas páginas eram acessíveis por links diretos. Anúncios pagos, como pop-unders, direcionavam usuários para páginas de instalação que promoviam ferramentas aparentemente úteis. A atividade dessas extensões remonta a 2016, com cerca de 111 extensões e aproximadamente 2,2 milhões de instalações associadas à Intango LTD, enquanto um grupo chamado SecuryBrowse foi responsável por 58 extensões e cerca de 4,9 milhões de usuários.
Os pesquisadores também identificaram um novo grupo focado no Bing, que continha 37 extensões, com atualizações coordenadas entre editores que aparentavam ser separados, evidenciando uma operação compartilhada. O estudo se baseia em investigações anteriores que examinaram extensões de segurança ocultas e funcionalidades suspeitas, ressaltando que nem todas as 319 extensões devem ser caracterizadas como isentas de permissões.
As implicações de segurança são significativas, pois a interceptação de buscas pode revelar preocupações pessoais, financeiras e profissionais. Embora a pesquisa não tenha confirmado a entrega de malware, a possibilidade de redirecionamento de cargas maliciosas permanece uma preocupação. A falta de transparência na forma como as extensões operam e a capacidade de monitorar consultas levantam questões sobre privacidade e segurança dos usuários.
O próximo passo para os pesquisadores e defensores da segurança é continuar monitorando essas extensões e suas operações. A recomendação é que usuários e organizações inspecionem as extensões instaladas e as configurações de busca padrão, restringindo extensões não autorizadas e investigando mudanças inexplicadas nas buscas.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews