Cuando las extensiones de productividad se convierten en plataformas de ataque

Las extensiones del navegador se han convertido en una de las formas más eficaces para que los atacantes obtengan acceso constante a la actividad de navegación de los usuarios. A diferencia del malware tradicional, las extensiones maliciosas heredan la confianza de los usuarios, se ejecutan dentro del navegador y, a menudo, solo requieren una instalación para permanecer activas indefinidamente.

Durante la búsqueda de amenazas en curso en Chrome Web Store y Microsoft Edge Add-ons Store, LayerX Research (ahora parte de Akamai) identificó una campaña coordinada de extensiones de navegador que consta de 32 extensiones maliciosas que afectaron colectivamente a más de 6150 usuarios.

A primera vista, las extensiones parecen no estar relacionadas. Se presentan como herramientas de productividad, incluidas utilidades de texto, optimizadores de YouTube, asistentes de SEO, aplicaciones de toma de notas, asistentes de idiomas, utilidades de markdown y otras mejoras para el navegador. Cada uno utiliza una marca diferente y anuncia una funcionalidad diferente.

Sin embargo, bajo esta diversidad superficial, la mayoría de las extensiones comparten una infraestructura casi idéntica, lo que sugiere que se originan en un marco de desarrollo común. Además, todas las extensiones comparten recursos de localización de Corea, comentarios en coreano y otros artefactos de desarrollo. 

Estas características comunes refuerzan nuestra evaluación de que las extensiones son parte de la misma campaña y fueron desarrolladas por el mismo atacante, ya sea un grupo organizado o un individuo.

Las primeras extensiones asociadas a esta campaña aparecieron en marzo de 2025, con extensiones adicionales que se siguieron publicando durante los meses siguientes.

En lugar de volver a publicar la misma extensión, los operadores introdujeron continuamente nuevas variantes construidas sobre el mismo marco subyacente.

Los investigadores de LayerX identificaron:

• 32 extensiones de navegador maliciosas

• Distribuidas a través de:

  • Google Chrome Web Store

  • Microsoft Edge Add-ons Store

• Más de 6150 usuarios afectados

Las extensiones se enmascaran como utilidades no relacionadas, entre las que se incluyen:

• Contadores de texto

• Utilidades de markdown

• Optimizadores de YouTube

• Controladores de velocidad de vídeo

• Herramientas SEO

• Asistentes de idiomas

• Herramientas para tomar notas

• Utilidades de desplazamiento

• Ayudantes relacionados con la IA

Aunque las extensiones parecen no estar relacionadas, el análisis estático reveló que la mayoría de ellas reutilizan service workers en segundo plano, lógica de telemetría, estructuras de almacenamiento y manejo de la navegación casi idénticos. Aparte de los activos de marca y su funcionalidad anunciada, la implementación subyacente permanece prácticamente sin cambios, lo que sugiere que las extensiones se generaron a partir de un marco de desarrollo común.

Ninguna de las extensiones individuales parece particularmente notable cuando se las ve aisladamente. Cada una anuncia una característica de productividad plausible, utiliza su propia marca, y tiene una base de usuarios relativamente pequeña. La campaña más amplia solo se hace evidente si se correlaciona la información del editor, la similitud del código, la infraestructura remota compartida y el comportamiento del tiempo de ejecución. 

La Figura 1 ilustra cómo las campañas de extensiones de navegadores modernas pueden permanecer ocultas a simple vista mediante la distribución de funciones maliciosas a través de numerosas extensiones aparentemente no relacionadas.

En lugar de incrustar la lógica operativa dentro del paquete de extensiones, la mayoría de las extensiones recuperan un archivo de configuración remota desde el mismo punto final alojado en jsDelivr (Figura 2)

Una vez descargada, la configuración se analiza y almacena en caché localmente:

El uso de una configuración remota aumenta significativamente la flexibilidad de la campaña. En lugar de publicar una nueva versión de extensión a través de Chrome Web Store o Microsoft Edge Add-ons Store, los operadores pueden simplemente modificar el archivo de configuración para cambiar el comportamiento de la extensión. Esto les permite actualizar inmediatamente sitios web específicos, redirigir destinos o la lógica de las campañas sin activar otra revisión de la tienda del navegador.

Durante nuestra investigación hemos observado que la configuración remota ha cambiado varias veces. En un momento dado, la configuración estaba completamente vacía, lo que sugiere que la infraestructura se ha restablecido o deshabilitado temporalmente (Figura 3).

Varios días más tarde, contenía reglas para el redireccionamiento del tráfico de afiliados. Esto demuestra que el comportamiento de la campaña se gestiona activamente a través de la configuración remota en lugar de estar incrustado estáticamente dentro de las extensiones (Figura 4).

La configuración descargada no contiene valores de texto sin formato. En su lugar, los nombres de host, las cargas útiles de redireccionamiento y los identificadores internos se codifican en Base64 y se reconstruyen en tiempo de ejecución (Figura 5).

La codificación en Base64 no proporciona protección criptográfica y no ofrece ninguna ventaja funcional para la extensión en sí. En su lugar, eleva el esfuerzo requerido para la inspección manual y el análisis estático automatizado, ocultando los dominios objetivo y redirigiendo las cargas útiles hasta el tiempo de ejecución.

Los valores descodificados se utilizan para reconstruir las reglas de navegación aplicadas durante el resto de la ejecución de la extensión.

Después de la inicialización, el service worker en segundo plano supervisa continuamente la actividad de navegación de los usuarios mediante la API webNavigation (Figura 6).

Debido a que se procesa cada navegación completada, la extensión observa de forma efectiva la sesión de navegación de un usuario, independientemente de si el sitio web visitado está relacionado con la funcionalidad anunciada de la extensión (Figura 7).

Una vez que un nombre de host coincide con una de las reglas proporcionadas remotamente, la extensión invoca chrome.tabs.update() para reemplazar silenciosamente la pestaña activa.

A diferencia de las campañas de redireccionamiento codificadas, la URL de destino se reconstruye dinámicamente a partir de la configuración descargada en lugar de incrustarse dentro de la extensión.

Dado que los destinos de redireccionamiento se proporcionan de forma remota en lugar de estar integrados en la extensión, los operadores pueden cambiar los destinos de la campaña en cualquier momento sin publicar una nueva actualización del almacén del navegador.

https://cdn.jsdelivr.net/gh/chosanghyeon-dev/chosanghyeon-dev@main/cf.json

https://link.coupang.com/a/dUnRI6

https://link.coupang.com/a/ej6z6U

api.pvmf.workers.dev

indie05hacker@gmail.com