Onderzoekers van Socket hebben 319 Chrome-extensies ontdekt die samen 13,4 miljoen gerapporteerde installaties hebben en die zoekopdrachten van gebruikers omleidden voor advertentie-inkomsten. De extensies deden zich voor als handige hulpmiddelen: pdf-converters, handleidingzoekers, safe-search-tools en zelfs AI-zoekhulpjes.
De truc zelf is technisch eenvoudig. De extensies stelden via de Chrome-instelling chrome_settings_overrides gewoon de standaardzoekmachine van de browser in. Daar is weinig code voor nodig; sommige voorbeelden bestonden amper uit meer dan een manifest-bestand en een paar iconen. Zoekopdrachten liepen vervolgens via een proxyserver van de extensie-operator, die ze doorstuurde naar Bing of Yahoo met een eigen partner-ID, zodat de operator meeverdiende aan doorverwijzingsinkomsten.
Gevaarlijker is dat de uiteindelijke bestemming van een zoekopdracht op elk moment kon veranderen, zonder dat de extensie zelf werd bijgewerkt. Socket illustreert dit met de extensie Predator Search, waarbij zes identieke zoekopdrachten op vier verschillende bestemmingen uitkwamen. Omdat de omleiding centraal op de proxyserver wordt bepaald, kan een operator gebruikers op termijn net zo goed naar phishingsites of schadelijke downloads sturen, zonder dat daar een nieuwe versie van de extensie voor nodig is.
De extensies stonden niet gewoon vindbaar in de Chrome Web Store, maar als “unlisted”: ze zijn daar wel te installeren via een directe link, maar duiken niet op in zoekresultaten binnen de store. Verspreiding verliep vooral via advertenties op websites die gebruikers naar de installatiepagina lokten.
Socket publiceerde een volledige lijst van de betrokken extensies. Wie twijfelt of hij een van deze tools heeft geïnstalleerd, kan die lijst het beste raadplegen en de extensie verwijderen als hij erop voorkomt. Een volledige antivirusscan achteraf is geen overbodige voorzorg. Het bredere advies blijft hetzelfde als bij eerdere kapingscampagnes via extensies: installeer geen browser-add-ons van onbekende uitgevers voor functies die de browser vaak al standaard aanbiedt, en controleer periodiek welke extensies daadwerkelijk nog in gebruik zijn.
Bron: BleepingComputer
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.