Las extensiones maliciosas de navegador son un problema del que se habla con frecuencia en ciberseguridad. Sin embargo, una investigación reciente muestra una variante especialmente engañosa de este fenómeno: complementos que funcionan con normalidad durante meses —o incluso años— antes de volverse maliciosos mediante una simple actualización.
Según informa The Hacker News, investigadores de seguridad han detectado dos de estos complementos para Google Chrome que cambiaron su comportamiento después de haber sido publicados como herramientas legítimas. Durante su primera etapa, ambas extensiones funcionaban como prometían, lo que les permitió acumular instalaciones y pasar los controles de la tienda oficial del navegador.
Una de ellas es QuickLens – Search Screen with Google Lens, un complemento que permitía realizar búsquedas visuales en pantalla mediante Google Lens y que llegó a reunir unos 7.000 usuarios. Tras un cambio de propietario, la extensión recibió en febrero una actualización que alteró por completo su funcionamiento.
Desde ese momento empezó a conectarse periódicamente a un servidor externo para descargar código JavaScript que se ejecutaba dentro del navegador del usuario. Ese script podía modificar páginas web visitadas por la víctima o inyectar contenido adicional, lo que abría la puerta a distintas actividades maliciosas.
El segundo caso detectado corresponde a ShotBird – Scrolling Screenshots, Tweet Images & Editor, una extensión con cerca de 800 usuarios que prometía hacer capturas de pantalla largas y generar imágenes listas para compartir en redes sociales. Después de cambiar de manos, el complemento empezó a mostrar falsos avisos de actualización del navegador. Si el usuario hacía clic en ese mensaje, era redirigido a una página fraudulenta donde se le indicaba ejecutar un comando en el sistema para instalar una supuesta actualización de Chrome.
En realidad, ese proceso descargaba un archivo malicioso llamado googleupdate.exe, que terminaba instalando malware en el equipo de la víctima. Una vez activo, el programa podía recopilar información sensible, como datos introducidos en formularios web, credenciales de acceso, números de tarjeta o información almacenada en el navegador.
Los investigadores creen que ambos casos podrían estar relacionados, ya que comparten infraestructura y patrones de comportamiento similares.
Entendiendo las extensiones
Este tipo de ataques demuestra que el riesgo no siempre está en instalar una extensión desconocida desde el principio. En algunos casos, herramientas que parecían completamente fiables pueden transformarse en una amenaza tiempo después.
Por ello, los expertos recomiendan revisar periódicamente las extensiones instaladas en el navegador y eliminar aquellas que ya no se utilicen, ya que cada complemento activo amplía la superficie de ataque que pueden aprovechar los ciberdelincuentes.
Deja una respuesta