Las extensiones de los navegadores pueden ser muy poderosas; pueden agregar características a los navegadores, hacer la navegación más productiva y hacer todo tipo de cosas. Aunque la mayoría de las extensiones de los navegadores son seguras de usar, siempre ha habido algunas que no lo son.
Un análisis recientemente publicado sobre el comportamiento de varias extensiones de navegadores populares para Google Chrome y Mozilla Firefox proporciona evidencia de que estas extensiones utilizaron un sofisticado esquema de recolección de datos del navegador.
Apodado DataSpii por el investigador Sam Jadali, descubre cómo ocho extensiones de navegador instaladas por millones de usuarios lograron salirse con la suya en la recolección de datos durante tanto tiempo y cómo lo hicieron.
Las extensiones incluyen Hover Zoom, una extensión que ya estuvo en el centro de un escándalo en 2013, así como SuperZoom, SaveFrom.net Helper, FairShare Unlock y PanelMeasurement.
Mientras que algunas de las extensiones comenzaron a reunir datos de inmediato, otras utilizaron un esquema elaborado en su lugar. Las extensiones no empezaban a reunir datos de inmediato y el investigador descubrió que se tardaba un promedio de 24 días en iniciar la parte de recopilación de datos por primera vez.
La demora hizo que la detección fuera mucho más complicada; los usuarios que instalaran la extensión no serían señalados con el dedo de inmediato si descubrían algo y los investigadores, incluido el personal de Google o Mozilla que buscaba las extensiones, no podrían encontrar ningún código o rastros de datos recogidos tampoco después de la instalación.
El investigador descubrió que las extensiones descargaban una carga útil de JavaScript de los servidores de Internet después de ese período inicial que incluía el código de recolección de datos. Los desarrolladores de las extensiones utilizaron varios métodos para ofuscar lo que estaban haciendo, por ejemplo, utilizando la codificación y compresión de datos en base64.
Jadali, que es el fundador del servicio de alojamiento de Internet Host Duplex, se dio cuenta de que algo andaba mal cuando encontró enlaces de foros privados de clientes publicados por la empresa de análisis Nacho Analytics. Descubrió que Nacho Analytics tenía información sobre datos de enlaces internos de grandes corporaciones como Apple, Tesla o Symantec.
Estos enlaces privados nunca deberían ser accesibles para terceros. Después de investigar el asunto, descubrió que las extensiones de los navegadores eran la fuente más probable de la fuga.
La mayoría de las extensiones están disponibles sólo para Google Chrome, pero tres también están disponibles para Firefox. El investigador descubrió que dos de las extensiones de Firefox recogían datos sólo si se instalaban desde sitios de terceros y no desde Mozilla AMO.
Una rápida comprobación de las ocho extensiones mostró que todas han sido eliminadas de la Chrome Web Store; todas devuelven un error 404 no encontrado.
Puede consultar el artículo de Arstechnica sobre DataSpii para obtener información adicional.
Palabras finales
En realidad no hay ninguna protección contra este tipo de comportamiento, salvo la de no instalar ninguna extensión en el navegador web. Incluso las extensiones de confianza pueden volverse pícaras, por ejemplo cuando se venden a otra compañía, un hecho que no es resaltado al usuario por ninguno de los navegadores.
Sigue siendo una buena idea verificar las extensiones de Chrome antes de instalarlas, no le habría ayudado descubrir la naturaleza sombría de algunas de las extensiones mencionadas en este artículo, ya que empezaron a recoger datos semanas después de la instalación.
De vez en cuando se descubren extensiones maliciosas, ya sea por accidente o por investigadores de seguridad. Mozilla prohibió 23 extensiones de snooping en 2018 y una ola de extensiones de malware en 2019; Google eliminó cuatro extensiones maliciosas de Chrome después de que los investigadores las denunciaran a la empresa, y tuvo que eliminar otras a lo largo de los años.
Los fabricantes de navegadores necesitan implementar salvaguardas contra este comportamiento ya que es la única manera de lidiar con la amenaza de una vez por todas. Tal vez añadir un mejor registro para hacer cosas como las cargas descargadas más fáciles de detectar.
Ahora tú: ¿Cuántas extensiones has instalado? ¿Confías en todas ellas?
Publicaciones relacionadas:
Descargar todas las imágenes de extensión para Chrome 
La empresa matriz de Adblock Plus, Eyeo, lanza Trusted News for Chrome 
Guardar en: usar varias carpetas de descarga en Firefox o Chrome 
Extensión de búsqueda de texto de vídeo en YouTube para Chrome 
Cómo bloquear imágenes animadas en Google Chrome 
Cromo para estrangular las páginas de fondo caras 
Google retirará las aplicaciones de Chrome 
Convertir páginas a versión movil en Chrome Dev para Android 
Google Chrome a veces se congela en Windows 10 
Extensión de Google Data Saver para Chrome en el escritorio 
Google publica la extensión Bookmark Manager para Chrome 
Cómo instalar el plugin Flash PPAPI manualmente en Chrome y otros navegadores