Quando as extensões de produtividade se transformam em plataformas de ataque

As extensões de navegador tornaram-se uma das formas mais eficazes para que invasores obtenham acesso contínuo às atividades de navegação dos usuários. Diferente dos malwares tradicionais, as extensões maliciosas aproveitam-se da confiança dos usuários, são executadas dentro do navegador e, muitas vezes, exigem uma única instalação para permanecerem ativas indefinidamente.

Durante uma investigação contínua de ameaças nas lojas Chrome Web Store e na Loja de Complementos do Microsoft Edge, o LayerX Research (agora parte da Akamai) identificou uma campanha coordenada de extensões de navegador com 32 extensões maliciosas que afetaram mais de 6.150 usuários.

À primeira vista, as extensões parecem não ter relação entre si. Elas apresentam-se como ferramentas de produtividade, que incluem utilitários de texto, melhorias para o YouTube, assistentes de SEO, aplicativos para anotações e assistentes de idiomas, utilitários de markdown e outras funcionalidades práticas para navegadores. Cada uma utiliza uma marca diferente e oferece funcionalidades distintas.

Por trás dessa diversidade superficial, no entanto, a maioria das extensões compartilha uma infraestrutura praticamente idêntica, o que sugere que elas têm origem em um mesmo framework de desenvolvimento. Além disso, todas as extensões compartilham recursos de localização em coreano, comentários em coreano e outros artefatos de desenvolvimento. 

Essas características comuns reforçam nossa avaliação de que as extensões fazem parte da mesma campanha e foram desenvolvidas pelo mesmo agente malicioso, seja ele um grupo organizado ou um indivíduo.

As primeiras extensões relacionadas a esta campanha surgiram em março de 2025, e novas extensões continuaram a ser lançadas nos meses seguintes.

Em vez de republicar a mesma extensão, os operadores criaram continuamente novas variantes baseadas no mesmo framework subjacente.

Pesquisadores do LayerX identificaram:

• 32 extensões maliciosas para navegadores

• Distribuídas entre:

  • Google Chrome Web Store

  • Loja de complementos do Microsoft Edge

• Mais de 6.150 usuários foram afetados

As extensões estão disfarçadas como ferramentas aparentemente não relacionadas, como:

• Contadores de texto

• Utilitários de marcação

• Melhorias no YouTube

• Controladores de velocidade de vídeo

• Ferramentas de SEO

• Assistentes de idiomas

• Ferramentas para anotações

• Utilitários de rolagem

• Assistentes de IA

Embora as extensões pareçam não ter relação entre si, a análise estática revelou que a maioria delas reutiliza workers de serviço de segundo plano, lógica de telemetria, estruturas de armazenamento e gerenciamento de navegação praticamente idênticos. Além dos elementos de marca e de suas funcionalidades anunciadas, a implementação subjacente permanece praticamente inalterada, o que sugere fortemente que as extensões foram criadas a partir de um framework de desenvolvimento comum.

Nenhuma das extensões individuais parece particularmente notável quando analisada isoladamente. Cada uma delas destaca uma funcionalidade de produtividade plausível, utiliza sua própria marca e possui uma base de usuários relativamente pequena. Somente ao correlacionar informações do editor, semelhança de código, infraestrutura remota compartilhada e comportamento no tempo de execução é que fica evidente que se trata de uma campanha mais ampla. 

A Figura 1 ilustra como as campanhas modernas de extensões de navegador podem passar despercebidas, mesmo estando à vista, ao distribuir funcionalidades maliciosas em diversas extensões aparentemente não relacionadas.

Em vez de incorporar a lógica operacional diretamente no pacote de extensão, a maioria das extensões obtém um arquivo de configuração remoto a partir do mesmo endpoint hospedado no jsDelivr (Figura 2).

Após o download, a configuração é analisada e armazenada em cache localmente:

Utilizar uma configuração remota aumenta significativamente a flexibilidade da campanha. Em vez de publicar uma nova versão da extensão na Chrome Web Store ou na loja de complementos do Microsoft Edge, os operadores podem simplesmente modificar o arquivo de configuração para alterar o comportamento da extensão. Isso permite que eles atualizem imediatamente sites específicos, redirecionem destinos ou modifiquem a lógica de uma campanha sem a necessidade de uma nova revisão na loja de navegador.

Durante nossa investigação, observamos várias alterações na configuração remota. Em determinado momento, a configuração estava completamente vazia, o que sugere que a infraestrutura foi temporariamente desativada ou reiniciada (Figura 3).

Vários dias depois, o documento passou a incluir regras para o redirecionamento de tráfego de afiliados. Isso demonstra que o comportamento da campanha é gerenciado ativamente por meio de configuração remota, em vez de estar incorporado de forma estática nas extensões (Figura 4).

A configuração baixada não contém valores em texto simples. Em vez disso, os nomes de host, os payloads de redirecionamento e os identificadores internos são codificados em Base64 e reconstruídos durante o tempo de execução (Figura 5).

A codificação Base64 não oferece proteção criptográfica nem traz nenhum benefício funcional para a extensão em si. Em vez disso, isso aumenta o esforço necessário para a inspeção manual e a análise estática automatizada, pois oculta os domínios-alvo e redireciona os payloads até o tempo de execução.

Os valores decodificados são então utilizados para reconstruir as regras de navegação que serão aplicadas durante o restante da execução da extensão.

Após a inicialização, o worker de serviço de segundo plano monitora continuamente a atividade de navegação dos usuários por meio da API webNavigation (Figura 6).

Como todas as navegações concluídas são processadas, a extensão monitora efetivamente a sessão de navegação do usuário, independentemente de o site visitado estar relacionado à funcionalidade anunciada pela extensão (Figura 7).

Quando o nome de um host corresponde a uma das regras fornecidas remotamente, a extensão invoca o método chrome.tabs.update() para substituir a aba ativa de forma silenciosa.

Diferentemente das campanhas de redirecionamento com código fixo, o URL de destino é reconstruído dinamicamente a partir da configuração baixada, em vez de estar embutido na extensão.

Como os destinos de redirecionamento são fornecidos remotamente e não estão integrados à extensão, os operadores podem alterar os objetivos da campanha a qualquer momento, sem precisar publicar uma nova atualização na loja do navegador.

https://cdn.jsdelivr.net/gh/chosanghyeon-dev/chosanghyeon-dev@main/cf.json

https://link.coupang.com/a/dUnRI6

https://link.coupang.com/a/ej6z6U

api.pvmf.workers.dev

indie05hacker@gmail.com