Uma extensão para browser pode ser uma ferramenta valiosa, mas também uma porta de entrada para ameaças à privacidade. Uma investigação recente revelou que dezenas de extensões populares e verificadas para o Chrome e o Edge espiavam secretamente milhões de utilizadores.
A extensão que desvendou o esquema
Muitas vezes, a instalação de uma extensão no browser é um ato quase automático. Precisamos de uma função específica, a ferramenta ocupa pouco espaço e parece inofensiva. Algumas contam com milhares de avaliações, uma classificação elevada e anos de presença na loja oficial.
No entanto, uma investigação recente demonstrou que a confiança pode ser traiçoeira. Várias destas extensões escondiam um sofisticado sistema de vigilância, capaz de monitorizar toda a nossa atividade online. Não se tratava de fraudes óbvias, mas sim de ferramentas úteis, bem concebidas e, crucialmente, silenciosas.
O ponto de partida da investigação foi a extensão “Color Picker, Eyedropper – Geco colorpick”. Tratava-se de uma ferramenta genuinamente útil, que permitia selecionar cores de qualquer ponto do ecrã e que funcionava na perfeição. Com mais de 100.000 instalações, avaliações positivas e até o selo de verificação da loja, nada levantava suspeitas.
Segundo os investigadores da Koi Security, a extensão foi, durante muito tempo, completamente legítima. Contudo, numa das suas atualizações, sem qualquer aviso ou alteração visível para o utilizador, o seu comportamento mudou.
A extensão passou a registar o histórico de navegação e a enviar essa informação para um servidor remoto, mantendo ainda uma ligação ativa com uma infraestrutura de comando e controlo (C2).
‘RedDirection’: uma rede coordenada de espionagem
Ao aprofundar a análise, os investigadores detetaram padrões de código e comportamento semelhantes noutras extensões. O que descobriram foi uma rede muito mais vasta e organizada, que batizaram de ‘RedDirection’. De acordo com o relatório, pelo menos 18 extensões diferentes faziam parte desta operação.
Todas estavam disponíveis nas lojas do Chrome e do Edge e, em conjunto, somavam mais de 2,3 milhões de instalações.
Algumas apresentavam-se como ferramentas de produtividade, outras como utilitários de entretenimento. Havia teclados de emojis, controladores de velocidade de vídeo, previsões meteorológicas, temas escuros ou supostas VPN para desbloquear serviços como o TikTok ou o Discord. Todas partilhavam uma característica: ofereciam uma funcionalidade legítima, enquanto espiavam em segundo plano.
O seu método não era instalar malware tradicional. Em vez disso, implementavam um sistema de browser hijacking que era ativado sempre que o utilizador abria um novo separador ou navegava para uma página. O código malicioso, oculto no serviço de fundo da extensão, não interferia com a sua funcionalidade principal.
O mecanismo era simples: sempre que uma página web era carregada, o seu URL era enviado para um servidor remoto juntamente com um identificador único do utilizador. A partir daí, os atacantes podiam ordenar um redirecionamento automático para uma página fraudulenta ou simplesmente registar a atividade.
Lista de extensões maliciosas identificadas
Estas são as principais extensões que a análise da Koi Security associou diretamente à campanha ‘RedDirection’. Todas ofereciam funcionalidades aparentemente legítimas, mas foram identificadas como parte do mesmo esquema:
- Color Picker, Eyedropper – Geco colorpick
- Emoji keyboard online – copy&paste your emoji
- Free Weather Forecast
- Weather
- Video Speed Controller – Video manager
- Unlock Discord – VPN Proxy to Unblock Discord Anywhere
- Unblock TikTok – Seamless Access with One-Click Proxy
- Unlock YouTube VPN
- Dark Theme – Dark Reader for Chrome
- Volume Max – Ultimate Sound Booster
- Volume Booster – Increase your sound
- Web Sound Equalizer
- Flash Player – games emulator
- Header Value
Segundo o portal Bleeping Computer, algumas destas extensões já foram removidas das lojas do Chrome e do Edge, mas outras continuam disponíveis para download. Tanto a Google como a Microsoft foram notificadas pela equipa da Koi Security, mas, até ao momento, não tomaram medidas generalizadas sobre o conjunto completo de extensões detetadas.
Leia também:
Extensões estão mais perto de chegar ao Chrome do Android! Google já trabalha para isso
Deixe um comentário