Una amplia campaña de secuestro de búsquedas que abarca 319 extensiones de Chrome, con un total combinado de 13,4 millones de instalaciones reportadas, desviaba las consultas de los usuarios mediante servidores de seguimiento con el fin de obtener ingresos publicitarios de Bing y Yahoo.
Un nuevo informe de John Tuckner, de Socket, amplía el hallazgo que el investigador realizó en abril de 2025 sobre 57 extensiones de Chrome con 6 millones de usuarios, añadiendo 264 complementos recién identificados con otros 8,7 millones de usuarios.
Estas extensiones fueron creadas por un puñado de operadores organizados que trabajaban bajo la misma idea: tomar silenciosamente el control del motor de búsqueda predeterminado del navegador, enrutar cada consulta a través de un servidor proxy sospechoso y cobrar pagos de referencia de socios de Yahoo o Bing bajo un identificador de socio de sindicación.
Las extensiones, cuya lista completa se comparte al final del informe de Socket, se presentan como conversores de PDF, buscadores de manuales, búsqueda segura y herramientas de búsqueda con IA. Sin embargo, en la mayoría de los casos simplemente redirigen las búsquedas de los usuarios a través de una serie de sitios hasta llegar a Bing o Yahoo.
Aunque están alojadas en Chrome Web Store, el portal oficial de Google para complementos de Chrome, Socket señala que no aparecen listadas y no surgen en las búsquedas de los usuarios dentro de la tienda de extensiones. En su lugar, se promocionan mediante anuncios dudosos en sitios web.
Tuckner explica que muchas de estas extensiones apenas necesitan código para lograr su objetivo, ya que el ajuste integrado de Chrome 'chrome_settings_overrides' les permite reemplazar el proveedor de búsqueda predeterminado. Un ejemplo analizado en el informe solo incluye un manifiesto e iconos, sin scripts en segundo plano, scripts de contenido ni permisos solicitados.
Las extensiones que secuestran el navegador como estas han difuminado durante mucho tiempo la línea entre los programas potencialmente no deseados (PUP) y el malware, y BleepingComputer ha informado sobre cientos de extensiones similares a lo largo de los años.
El riesgo va más allá del fraude publicitario
Actualmente, las extensiones se centran en generar ingresos mediante referencias de búsqueda, haciendo pasar las consultas de los usuarios por un servidor controlado por el operador antes de que lleguen a Yahoo o Bing.
No obstante, Tuckner advierte de que el destino final puede cambiar en cualquier momento sin necesidad de actualizar la extensión, lo que incluye redirigir a los usuarios a sitios de phishing o descargas maliciosas.
Los ingresos por referencias de búsqueda son un abrevadero rentable, mientras el operador del proxy puede esperar a que se acumulen datos y afloren objetivos antes de redirigir a resultados de búsqueda maliciosos o páginas de aterrizaje para phishing u otras descargas maliciosas.
Un ejemplo de esto es la extensión Predator Search, que redirigió a Tuckner a cuatro sitios diferentes al realizar seis búsquedas idénticas.
Seis búsquedas idénticas enviadas a través de su servidor de búsqueda proxy terminaron en cuatro lugares distintos: directamente a Yahoo con etiquetas de socio (hspart=sz&hsimp=yhs-026), una página de aterrizaje en searchlio.net, un salto a través de searchtosearch.com hacia un segundo dominio de resultados (mcftink.com) antes de Yahoo, y una página de error de Cloudflare sin respuesta. La extensión nunca cambió; el proxy eligió cada destino a medida que llegaba la búsqueda.
El mayor grupo de extensiones activas recientemente es 'Bing-Search', con 37 extensiones y 2,2 millones de usuarios, a menudo promovido mediante anuncios de Bidbrain. Otro es la oleada 'SecuryBrowse', con 58 extensiones y 4,9 millones de usuarios, que promociona complementos de temática de seguridad como Fire Shield, Securify y WatchTower.
El investigador indicó que la mayoría de estas extensiones habían sido eliminadas de Chrome Web Store cuando se publicó el informe. Sin embargo, constantemente se añaden nuevas.
Los usuarios deben desinstalar las extensiones incluidas en el informe de Socket de sus navegadores web, ejecutar un análisis antivirus completo en sus sistemas y evitar descargar herramientas y complementos de navegador innecesarios de editores desconocidos.
BleepingComputer se ha puesto en contacto con Google para obtener comentarios sobre los hallazgos de Socket, pero no había recibido respuesta en el momento de la publicación.
Una vez que los atacantes tienen credenciales válidas, solo se bloquea el 37 % de sus acciones
Las puntuaciones generales de prevención pueden ocultar lo que ocurre después del acceso inicial. Una vez que los atacantes utilizan credenciales válidas, la prevención cae drásticamente. El Blue Report 2026 mide las defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.
Deja una respuesta