La empresa de seguridad estadounidense ICEBRG reveló ayer que detectó cuatro extensiones maliciosas de Google Chrome en la tienda web oficial de Chrome.
Las extensiones tenían un número combinado de usuarios de más de 500.000 en ese momento. La compañía notificó a Google y a las autoridades sobre las extensiones; Google retiró tres de las cuatro extensiones de la tienda mientras tanto.
Las extensiones en cuestión son Marcadores Lite**, Stickies – Notas Post-it de Chrome, Cambiar la cabecera de la solicitud HTTP y Nyoogle – Logotipo personalizado para Google con Nyoogle todavía disponible en la tienda web oficial en el momento de redactar este documento.
El ICEBRG se tropezó con las extensiones maliciosas durante una investigación de un “pico sospechoso en el tráfico de salida de una estación de trabajo de un cliente”. Identificó la extensión Chrome Change HTTP Request Header como la culpable y comenzó a analizar el comportamiento de la extensión.
La empresa señala en una entrada de blog que la extensión en sí misma estaba limpia de código malicioso pero configurada para la inyección de código JavaScript. Los tecnicismos se describen en detalle en el blog de ICEBRG.
El autor de la extensión podría inyectar y ejecutar código JavaScript arbitrario. Los investigadores de seguridad notaron que el código JavaScript ofuscado se recuperaba de un servidor de control a los sistemas de los usuarios con la extensión. Según el ICEBRG, el actor de la amenaza usó esto para “visitar dominios relacionados con la publicidad”; un fuerte indicador de una campaña de fraude de clicks.
Si bien los investigadores no notaron otro mal comportamiento por la extensión, se disponía de capacidades para utilizarlo para otros medios.
El agente de la amenaza también podría utilizar la misma capacidad para navegar por los sitios internos de las redes de víctimas, eludiendo eficazmente los controles del perímetro que tienen por objeto proteger los bienes internos de las partes externas.
Las extensiones detectadas utilizan métodos similares, pero no está claro si son operadas por el mismo grupo. Parece probable, considerando la similitud de los métodos utilizados para eludir las comprobaciones automáticas de Google sobre las subidas y el comportamiento de las extensiones de Chrome.
Los usuarios de Chrome deben verificar en chrome://extensiones que ninguna de las extensiones esté instalada. Se recomienda eliminar estas extensiones inmediatamente.
Palabras finales
El sistema automatizado de Google que comprueba las extensiones de Chrome antes de que se ofrezcan en la tienda está muy dañado. Sólo el año pasado se produjeron varios incidentes en los que extensiones de Chrome malintencionadas se escabulleron de las rutinas de detección de Google para infectar cientos de miles de sistemas de usuarios. (a través de Bleeping Computer)
Artículos relacionados
- Otra historia de horror de la extensión Chrome: colmena y registro de dominio
- El cromo tiene un problema masivo de extensiones de imitación
- Extensión de cromo CopyFish secuestrado: ¡retirar ahora!
- Google saca el cartel de archivo de la extensión del cromo de la criptografía
- Google saca la extensión Chrome Web Developer por encima de la inyección de anuncios
Publicaciones relacionadas:
Anity for Chrome traduce el manga japonés al inglés 
Usa la extensión LeechBlock NG para Firefox, Chrome para bloquear sitios web que te distraigan mientras trabajas 
LanguageTool es un corrector gramatical y ortográfico gratuito y de código abierto para Firefox, Chrome y Windows. 
La extensión de Firefox NoScript está ahora disponible para Chrome 
Google está probando la función de modo nunca lento en Chrome 
El Chrome 70 cuenta con la opción de restringir el acceso a las extensiones 
Cómo reiniciar Google Chrome sin extensiones 
Google Chrome 66: exportación de contraseñas, bloqueador de reproducción automática y actualizaciones de seguridad 
Cómo solucionar los problemas de la pantalla negra de Google Chrome 
Extensión de cromo CopyFish secuestrado: ¡retirar ahora! 
Iconos de remitente de Gmail para Chrome: mejor identificación del remitente 
Chrome 53 rompe el HTTPS y bloquea extensiones