Diversas extensões do navegador Google Chrome com uma alta quantidade de downloads foram descobertas como golpes de sequestro de mecanismos de busca. Um relatório da Socket publicado nesta quinta-feira (29) denuncia o caso.
De acordo com o levantamento, 319 extensões instaladas estavam gerando receita e possivelmente aplicando golpes digitais. Em atividade nos últimos dez anos, elas teriam sido pelo menos baixadas por cerca de 13,4 milhões de pessoas.
As extensões ainda se utilizavam de um mecanismo da própria loja de extensões da Google para não serem detectadas tão facilmente, escapando de mecanismos de proteção da empresa.
Sequestrando buscas discretamente
As extensões encontradas no estudo se disfarçavam de uma série de programas diferentes, como buscadores de PDF e serviços de proteção para o navegador, ou então até disfarçadas de ferramentas para otimizar pesquisas na web.
- Ao serem instalados no navegador, os softwares maliciosos alteravam o mecanismo padrão de pesquisa da vítima para dois serviços: o Yahoo! e o Bing;
- Isso é feito porque ambas as plataformas geram receita com base no referral, ou referências, que são elementos adicionados ao final do endereço de uma página e servem como identificadores da origem do tráfego daquela pesquisa;
- As extensões criminosas “sequestram” buscas feitas pelos usuários no navegador, fazendo a página passar por um servidor proxy intermediário e ganhar um referral falso no link antes de chegar até a página com resultados da busca;
- O usuário acha que está fazendo uma pesquisa comum, mas o redirecionamento e os elementos adicionados faziam as empresas de fachada criadas pelos cibercriminosos receber a receita compartilhada por serem a fonte falsa desse tráfego;
Além disso, por causa do uso do proxy, os programas também poderiam ser capazes de direcionar resultados de busca para páginas que aplicam phishing ou levam a downloads fraudulentos.
As extensões estavam hospedadas na loja digital do Chrome, mas não apareciam em buscas comuns por uma configuração que sinalizava elas como “não listadas”. Por isso, só era possível acessar essas ferramentas falsas por meio de link direto, exibido em anúncios em buscadores ou redes sociais.
O golpe envolvia “centrais” de extensões falsas concentradas em alguns nomes. Os mais relevantes eram o SecuryBrowse, com 58 extensões e quase 5 milhões de downloads, e o Bing-Search, baixado fora do ambiente da Microsoft, com 37 extensões e 2,2 milhões de usuários.
Após a denúncia, a grande maioria das extensões foi deletada ou já tinha sido tirada do ar na Chrome Web Store, mas novas ameaças similares podem voltar ao catálogo.
O que é nudify? Entenda aqui como funcionam os apps que preocupam autoridades. /Com informações de Socket.