Identifican 319 extensiones maliciosas de Chrome que manipulan las búsquedas y afectan a 13,4 millones de usuarios

Un investigador de seguridad ha identificado un total de 319 extensiones maliciosas del navegador Chrome que, instaladas por 13,4 millones de usuarios, manipulan la búsqueda utilizándola para capturar consultas a través de un servidor proxy sospechoso y cobrar pagos por referencias de Yahoo y Bing.

Así lo ha compartido el experto de la compañía de ciberseguridad Socket John Tuckner, en un nuevo informe que amplía un estudio previo publicado en abril de 2025, en el que detalla que ha hallado 264 nuevas extensiones maliciosas recién identificadas, que afectan a 8,7 millones de usuarios más a nivel global.

Concretamente, estas extensiones son creadas por un grupo de "operadores organizados" con la intención de tomar el control del motor de búsqueda predeterminado del navegador y, tras ello, redirigir las consultas de los usuarios a través de un servidor proxy sospechoso para, finalmente, cobrar pagos por referencias de socios de Yahoo o Bing, empleando una identificación de socio de sindicación.

Según ha explicado Tuckner en un comunicado, estas extensiones maliciosas no se encuentren fácilmente, de hecho, están ocultas en la Chrome Web Store con nombres poco llamativos como Safe Web Search o PDF Manual Finder. Sin embargo, los ciberdelincuentes las extienden a través de publicidad de pago, concretamente, mediante Google Ads o Bidbrain, entre otras herramientas.

Por tanto, al instalar en el navegador alguna de estas extensiones, todas las búsquedas que realizan los usuarios quedan registradas. Esto se debe a que la extensión hace que las búsquedas pasen primero por el servicio del operador malicioso y, por tanto, este puede ver el historial de búsqueda completo, que suele estar vinculado a un identificador único.

Una vez capturadas las consultas, el operador decide dónde termina el proceso redirigiendo la búsqueda con un servidor proxy, "de forma similar a un sistema de distribución de tráfico".

Actualmente, los investigadores han afirmado que, en los casos estudiados, el proxy conduce a resultados reales en Yahoo y Bing. Sin embargo, han advertido que, los ciberdelincuentes podrían utilizar una cadena de búsqueda específica o la ubicación geográfica del cliente para mostrar como resultado una página de 'phishing', una página de resultados falsos o un señuelo de 'malware'.

Por tanto, por el momento, el objetivo final de los ciberdelincuentes es generar ingresos a través de las referencias de búsqueda. Para ello, como hacen pasar las búsquedas que secuestran de los usuarios por su propio servidor proxy, antes de que lleguen a Yahoo o Bing, utilizan esta redirección para obtener ingresos, mediante los programas de sindicación de búsqueda de Yahoo y Microsoft.

"Los ingresos por referencias de búsqueda constituyen una fuente de ingresos lucrativa, mientras que el operador del proxy puede esperar a que se acumulen datos y aparezcan objetivos antes de redirigir a resultados de búsqueda maliciosos o páginas de destino para 'phishing' u otras descargas maliciosas", ha detallado el investigador.

Cabe destacar que, según se ha podido comprobar, incluso si se eliminan las extensiones de tienda Chrome Web Store, "aparecen rápidamente nuevos dominios y señuelos". De hecho, han corroborado que este método de extensiones maliciosas se han estado utilizando de forma continua durante una década.

Por tanto, desde Socket han concluido alertando a los usuarios de que "una extensión cuya única función es interceptar búsquedas que los usuarios podrían haber realizado de todos modos, que está deliberadamente oculta a la indexación, promocionada mediante anuncios de bajo valor y que no proporciona ningún valor adicional, debe considerarse maliciosa por definición".

Así, en la lista completa de extensiones identificadas por la compañía de seguridad, se muestran extensiones variadas que se hacen pasar por convertidores PDF, buscadores manuales, herramientas de búsqueda segura o herramientas de búsqueda con inteligencia artificial (IA).