Hay ciberdelincuentes que se han profesionalizado en eso de crear extensiones para navegadores que en el fondo esconden intereses mucho más oscuros.
En este tiempo esos complementos han reunido más de 4 millones de instalaciones y, de hecho, hay algunos que todavía se pueden descargar.
ShadyPanda ha ido publicando distintas extensiones y en 2023 lanzó una veintena para Chrome con el nombre de ‘nuggetsno15’ y otras 125 para Edge denominadas ‘Zhang’. Estas fueron diseñadas para inyectar códigos de seguimiento de afiliados cada vez que la víctima pinchaba en enlaces de eBay, Amazon o Booking.
Además, las herramientas también implementaban en seguimiento de Google Analytics para monetizar los datos de navegación. Desde Koi aseguran que se comercializaba con cada visita a la página web, cada consulta de búsqueda y cada patrón de clics.
Sin embargo, ShadyPanda innovó a principios de 2024, cambiando de técnica. Así, publicó una extensión que se hacía pasar por una herramienta de productividad para pestañas. Esta, denominada Infinity V+, redirigía las búsquedas web mediante el secuestrador de navegadores trovi.com.
El actor de amenazas fue más allá y usó el código malicioso para leer las cookies de las víctimas y enviar los datos a nossl.dergoodting.com, creando identificadores únicos sin el consentimiento ni el conocimiento de los usuarios. El atacante logró generar perfiles de sus intereses en tiempo real al capturar la información que los usuarios introducían en el cuadro de búsqueda.
La paciencia, el arma más peligrosa
ShadyPanda había conseguido colocar varias extensiones que llegaron a estar destacadas y verificadas por Google en la Chrome Web Store, pero que luego, años después, comenzó a usar como arma a través de una actualización maliciosa, a mediados de 2024. Se configuraban como auténticas puertas traseras.
«ShadyPanda decide qué hace. Hoy es vigilancia, mañana podría ser ransomware, robo de credenciales o espionaje corporativo. El mecanismo de actualización se ejecuta automáticamente, cada hora, indefinidamente”, asegura la compañía de seguridad.
Estas herramientas ejecutaban una carga útil, estando diseñadas para exfiltrar datos del navegador a servidores remotos.
Koi menciona una extensión llamada WeTab New Tab Page que ha llegado a alcanzar 3 millones de descargas y que funciona como una sofisticada plataforma de vigilancia, enviando datos a 17 dominios diferentes. Su apariencia, no obstante, es la de una herramienta de productividad.
Microsoft asegura haber eliminado todas las extensiones identificadas como maliciosas en la tienda de complementos de Edge. Algo similar afirma haber hecho Google.
Deja una respuesta