Extensões do Chrome com mais de 13 milhões de instalações desviavam buscas de usuários

Pesquisadores de segurança identificaram uma rede de 319 extensões para o navegador Google Chrome que alteravam silenciosamente as pesquisas de mais de 13,4 milhões de usuários. Os complementos fingiam oferecer serviços práticos, como conversores de arquivos no formato digital (PDF), manuais de instruções e ferramentas de busca baseadas em inteligência artificial. O objetivo real por trás da manobra era desviar as consultas das pessoas para gerar ganhos financeiros com comissões de anúncios em plataformas parceiras, como Bing e Yahoo.

A descoberta foi apresentada pelo pesquisador John Tuckner, da empresa de segurança Socket, ampliando um levantamento que começou com 57 complementos suspeitos e alcançou novas centenas de programas. Na prática, a situação funciona como um taxista que, contratado para levar você a uma determinada loja, decide fazer desvios sem avisar apenas para receber comissões de outros comércios no caminho. Em vez de entregar a resposta de forma direta, o sistema conduzia a navegação por computadores intermediários controlados pelos operadores do esquema.

Como os complementos operavam no navegador

O esquema tirava proveito de um recurso oficial do próprio Chrome que autoriza extensões a substituir o mecanismo de pesquisa padrão (search provider). Por usar uma função já existente no sistema, os criadores dessas ferramentas não precisavam escrever códigos avançados nem pedir permissões complexas aos usuários. Em certos casos analisados pela equipe de segurança, o pacote continha somente as imagens dos ícones e o arquivo básico de configuração do aplicativo, sem nenhum script em segundo plano.

A distribuição também contava com uma estratégia discreta. Os complementos ficavam hospedados no portal oficial de extensões da Google, mas em uma categoria oculta, o que impedia que eles fossem encontrados pela busca comum da loja. A atração de novas pessoas acontecia por meio de anúncios duvidosos publicados em diversos sites, que convenciam o internauta a clicar e instalar a ferramenta com promessas de resolver tarefas rápidas do dia a dia.

Riscos que vão além de anúncios indesejados

Apesar de a rede faturar principalmente com o desvio de tráfego para publicidade, os especialistas alertam que a ameaça pode se tornar muito mais grave. Como o tráfego passa obrigatoriamente por um servidor intermediário (proxy server) sob comando dos operadores, eles conseguem alterar o destino final de forma remota, sem precisar atualizar a extensão instalada no computador. Isso abre espaço para que as pesquisas comecem a direcionar para sites falsos criados para roubar dados pessoais ou descarregar arquivos maliciosos.

Nos testes realizados com um complemento chamado Predator Search, seis buscas com exatamente as mesmas palavras levaram a quatro endereços finais diferentes na internet. Entre os grupos identificados, havia ondas inteiras voltadas a temas específicos, como um conjunto com mais de 50 extensões que ironicamente usavam nomes associados a escudos de segurança digital para conquistar a confiança do público.

Remoção e medidas de proteção

Segundo o relatório da Socket, a maioria dos complementos apontados na investigação foi retirada do portal oficial da Google antes da publicação dos dados, embora novas tentativas continuem surgindo. O navegador se tornou a principal bancada de trabalho de empresas e profissionais autônomos, o que faz de qualquer modificação indevida um risco direto para a segurança das operações. Os especialistas orientam que as pessoas desinstalem complementos desconhecidos, realizem verificações no sistema e limitem a adição de ferramentas ao que for estritamente necessário.