Pesquisa revela rede de 319 extensões do Chrome que sequestram buscas de 13 milhões de usuários

Duas investigações da equipe de segurança da Socket expuseram nesta quinta-feira (30) uma operação silenciosa que já dura dez anos: 319 extensões do Chrome que sequestram pesquisas de 13,4 milhões de usuários. Em paralelo, a empresa também descobriu três extensões falsas de carteiras de criptomoedas no Firefox que servem para drenar os fundos de quem cai no golpe.

O tamanho da operação no Chrome chama a atenção. As extensões ficam escondidas na Chrome Web Store publicadas como “não listadas”, ou seja, não aparecem em buscas comuns. O golpista empurra a instalação por meio de anúncios pop-up que oferecem conversores de PDF gratuitos ou localizadores de pessoas.

Como o sequestro de busca funciona no Chrome

Diferente de extensões maliciosas mais agressivas, essas 319 não pedem permissões que assustam o usuário. Em vez disso, trocam o mecanismo de busca padrão do navegador e passam cada pesquisa por um servidor proxy privado antes de redirecionar o resultado para o Yahoo ou Bing.

O mecanismo é mais sutil que ataques anteriores. Em 2026, por exemplo, 19 extensões do Chrome foram flagradas removendo regras de segurança para roubar senhas. Neste caso, o golpe depende de um detalhe que muitos ignoram: o navegador começa a mostrar resultados do Yahoo ou Bing sem que o usuário tenha trocado nada.

O problema, segundo o pesquisador John Tuckner, é que a loja da Google não consegue conter a onda. “A Chrome Web Store não tem acompanhado o ritmo. Mesmo que as extensões sejam removidas, novos domínios e iscas aparecem rapidamente depois”, disse Tuckner no relatório da Socket.

Na prática, quem cai no golpe tem todo o histórico de pesquisa monitorado por um servidor controlado pelo golpista, que também pode redirecionar o navegador para qualquer página a qualquer momento.

Falsas carteiras de cripto no Firefox drenam fundos

Do outro lado, no Firefox, o golpe é mais direto. Três extensões descobertas pelo pesquisador Kush Pandya, da Socket, se passam pelas carteiras Phantom, Jupiter e Bitget, todas populares entre usuários de criptomoedas. As extensões usam caracteres parecidos com os originais nos nomes e centenas de avaliações falsas para disfarçar a farsa.

As três já vinham com roubadores de dados embutidos desde o processo de envio para revisão da Mozilla. Mas a extensão falsa da Phantom foi além: tinha um carregador remoto que esperava a aprovação da loja para ativar um segundo payload malicioso.

Se a vítima digita ou cola a frase de recuperação da carteira em qualquer uma dessas extensões, as chaves vão direto para o criminoso. E, como alerta o relatório da Socket, deletar a extensão depois disso não adianta: “quem detém as chaves controla a carteira e pode mover todos os ativos nela”.

A Mozilla já removeu as três extensões falsas da loja do Firefox. A empresa não se pronunciou sobre o caso até o momento desta publicação.

O que fazer para não cair nesses golpes

Se as pesquisas do navegador começaram a cair no Yahoo ou Bing sem motivo aparente, o relatório da Socket recomenda abrir o gerenciador de extensões e remover qualquer coisa que não seja familiar. Para usuários de carteiras de criptomoedas, a orientação é nunca instalar uma extensão a partir dos resultados de busca da loja, use sempre o site oficial da carteira.

O caso também acende um alerta sobre os limites das lojas de extensões. Segundo os pesquisadores, as revisões automatizadas falham em pegar até manifestos básicos do Chrome que alteram configurações de busca e pacotes do Firefox que já contêm drenadores de carteira ativos.

📲 Esse tipo de golpe muda de cara toda semana. Para não ficar para trás, entra no Canal do TS no WhatsApp e recebe os alertas de segurança assim que eles saem.

Fonte: PiunikaWeb