✔319 расширений для Chrome перехватывали поисковые запросы пользователей - «Новости»

Исследователи из компании Socket обнаружили масштабную вредоносную кампанию, построенную вокруг расширений для Chrome, которые подменяли поисковую систему в браузерах жертв и направляли запросы через подконтрольные операторам серверы. Всего с этой кампанией связали 319 расширений с 13,4 млн установок.

Новый отчет продолжает исследование, опубликованное в апреле 2025 года, когда специалисты обнаружили 57 вредоносных расширений, которые установили более 6 млн раз. Теперь эксперты выявили еще 264 аддона, которые суммарно установили 8,7 млн раз.

Вредоносные расширения маскируются под конвертеры PDF, инструменты для поиска инструкций, а также сервисы безопасного и ИИ-поиска. Однако на самом деле большинство из них просто подменяет поисковую систему по умолчанию, а затем переадресует все запросы жертвы через подконтрольные злоумышленникам прокси-серверы. В итоге пользователь все равно попадает в Bing или Yahoo, но уже по партнерской ссылке, а операторы этой кампании получают деньги за привлеченный поисковый трафик.

Отмечается, что многие расширения устроены предельно просто, а для подмены поисковой системы зачастую используют штатную настройку Chrome chrome_settings_overrides. Один из изученных аддонов вообще состоял только из манифеста и иконок, не имел фоновых и контентных скриптов, а также не запрашивал никаких разрешений.

Хотя все вредоносные расширения размещались в официальном Chrome Web Store, их умышленно скрыли из поиска по магазину. Вместо этого операторы кампании продвигали их через рекламу на сторонних сайтах.

Исследователи предупреждают, что проблема не ограничивается лишь накруткой партнерских выплат. Так как поисковые запросы жертв сначала проходят через инфраструктуру злоумышленников, те в любой момент могут изменить конечный адрес без обновления самого расширения и начать перенаправлять жертв на фишинговые страницы или сайты с малварью.

К примеру, расширение Predator Search при шести одинаковых запросах перенаправило специалистов по четырем разным маршрутам: напрямую в Yahoo с партнерскими тегами, через сайт searchlio[.]net, через цепочку searchtosearch[.]com и mcftink[.]com, а в одном случае — на страницу ошибки Cloudflare. «Само расширение не менялось, но прокси выбирал конечный адрес для каждого поступающего поискового запроса», — объясняют эксперты.

Крупнейшим недавно активным кластером этой кампании стал Bing-Search, в который вошли 37 расширений, часто рекламировавшиеся через Bidbrain и насчитывавшие около 2,2 млн пользователей. Другая крупная волна была связана с SecuryBrowse и включала 58 расширений, которые маскировались под защитные инструменты вроде Fire Shield, Securify и WatchTower, в итоге набрав порядка 4,9 млн пользователей.

В настоящее время большинство обнаруженных расширений уже удалили из Chrome Web Store, однако специалисты подчеркивают, что продолжают появляться новые. Пользователям рекомендуют свериться со списком Socket, удалить перечисленные в нем аддоны, а затем запустить полную антивирусную проверку системы.