319 расширений Chrome перехватывали поиск и получали выплаты от Bing и Yahoo

Исследователи Socket нашли 319 расширений для Chrome, которые перехватывали поиск в браузере. По данным компании, общее число установок составляет 13,4 млн. Расширения маскировались под конвертеры PDF, инструменты ручного поиска, поисковики с безопасным режимом и инструменты ИИ-поиска. На деле они отправляли запросы через цепочку сайтов и прокси-серверов, пока пользователь не попадал на Bing или Yahoo.

По словам исследователя Джона Таккнера, операторы брали партнёрские выплаты от Yahoo или Bing в рамках программы синдикации, в которой запросы помечались идентификатором партнёра. Часть расширений размещена в Chrome Web Store, но в выдаче магазина они не отображаются и продвигаются через сомнительную рекламу на сайтах.

Подмена конечной страницы

Многим расширениям почти не нужен код: настройка Chrome chrome_settings_overrides позволяет заменить поисковик по умолчанию. В одном из примеров в отчёте были только манифест и иконки, без фоновых скриптов, скриптов содержимого и запрошенных разрешений.

По словам Таккнера, конечная страница может измениться в любой момент без обновления расширения. Оператор может вести пользователей на фишинговые сайты или вредоносные загрузки. В одном из примеров расширение Predator Search при шести одинаковых запросах привело пользователя на четыре разных адреса: прямо на Yahoo с партнёрскими метками, на страницу searchlio.net, через searchtosearch.com на mcftink.com и на страницу ошибки Cloudflare.

Крупнейшие кластеры

Самый активный недавний кластер назван «Bing-Search»: в него входят 37 расширений с 2,2 млн пользователей, которые часто продвигаются через рекламу Bidbrain. Волна SecuryBrowse включает 58 расширений с 4,9 млн пользователей и продвигает дополнения на тему безопасности, например Fire Shield, Securify и WatchTower.

По данным исследователя, большинство расширений удалили из Chrome Web Store к моменту публикации отчёта, но новые появляются постоянно. Пользователям советуют удалить расширения из списка Socket, проверить систему антивирусом и не ставить лишние инструменты и дополнения от неизвестных разработчиков. BleepingComputer запрашивал комментарий у Google, но ответа не получил.