Los atacantes compraron o desarrollaron 19 complementos que funcionaron normalmente durante meses antes de recibir actualizaciones con código malicioso, según investigadores de Socket. (Fuente: TechSpot)
Investigadores de seguridad descubrieron una campaña maliciosa que estuvo activa durante años. Cibercriminales desconocidos abusaron del sistema de extensiones de Chrome para infectar a decenas de miles de sistemas, y muchas víctimas podrían seguir siendo vulnerables si no cambiaron manualmente la configuración de su navegador.
Investigadores de Socket Inc. identificaron 19 extensiones maliciosas dirigidas a usuarios de Chrome y Edge. La campaña cibercriminal apuntó principalmente al navegador de Google, aunque una de las extensiones ganó popularidad significativa tanto en Chrome como en Edge. Los analistas creen que una sola mente está detrás de la campaña, y que está decidida a seguir adelante incluso después de que las extensiones fueron removidas de ambas tiendas.
Todos los complementos maliciosos usaron una estrategia similar, según Socket. La mayoría de las extensiones (14) fueron desarrolladas directamente por los cibercriminales, mientras que otras cinco fueron compradas a desarrolladores y empresas legítimas. En un principio, los complementos simplemente ofrecían la funcionalidad anunciada. Sin embargo, durante los últimos seis meses, los hackers actualizaron las extensiones con código malicioso diseñado para comprometer sistemas o empezar a recolectar datos de los usuarios.
Entre los complementos incluidos se destaca una extensión particularmente popular llamada Enable Right Click & Copy – Smart Unlock + OCR, que terminó instalada en 70.000 navegadores Chrome y otros 10.000 navegadores Edge. En total, 80.000 usuarios quedaron expuestos a la extensión maliciosa, que apuntaba principalmente a billeteras de criptomonedas y otros datos relacionados con criptoactivos.
Los cibercriminales usaron algunos patrones de ataque basados en código que se habían identificado por primera vez en febrero de 2024. Inyectaron cargas maliciosas después de acumular una cantidad considerable de víctimas potenciales, administrando la campaña de robo de criptomonedas de forma remota a través de una infraestructura flexible de dominios de comando y control.
Las extensiones maliciosas finalmente fueron eliminadas de las tiendas de Chrome y Edge. Sin embargo, los usuarios podrían seguir formando parte de la infraestructura de comando y control si no revisaron y eliminaron manualmente los 19 complementos identificados por los investigadores.
En 2018, Google había anunciado un cambio importante en la tecnología de extensiones usada por el proyecto Chromium. La API Manifest V3 estaba pensada para mejorar la arquitectura de seguridad de los complementos en navegadores basados en Chromium, incluidos Chrome y Microsoft Edge. Como demuestran claramente estas 19 extensiones maliciosas modificadas con cargas dañinas, el intento de Google de reforzar la seguridad bien podría resultar un deseo bastante optimista. Es probable que los cibercriminales sigan apuntando a extensiones populares de navegador incluso después de que Manifest V2 desaparezca por completo.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.