319 розширень для Chrome перехоплювали пошук у 13,4 млн користувачів
Дослідник Socket виявив 319 розширень для Chrome, які перенаправляли запити пошуку через проксі для заробітку на реферальних виплатах Bing і Yahoo.
Socket повідомив про масштабну кампанію викрадення пошуку у браузері Chrome: 319 розширень із сумарно 13,4 млн встановлень перенаправляли запити користувачів через трекінгові сервери до Bing і Yahoo, генеруючи дохід з реферальних програм.
Як працює кампанія
За словами Джона Такнера з Socket, оператори розширень підмінювали стандартний пошуковий рушій Chrome і скеровували кожен запит через підконтрольний проксі-сервер, додаючи партнерські ідентифікатори для виплат від Yahoo або Bing. Багато з цих розширень маскувалися під конвертери PDF, пошук інструкцій, «безпечний пошук» та інструменти зі штучним інтелектом, але фактично лише робили ланцюжок редиректів до Bing чи Yahoo.
Socket розширив попереднє дослідження квітня 2025 року (57 розширень і 6 млн користувачів), додавши ще 264 знайдені аддони з 8,7 млн установок. Деякі з них майже не містять коду: завдяки вбудованому налаштуванню Chrome chrome_settings_overrides вистачає маніфеста, щоб змінити пошукового провайдера.
Попри розміщення у Chrome Web Store, ці розширення були прихованими (unlisted) і не з’являлися в пошуку магазину; їх просували через сумнівну рекламу на сайтах.
Ризики виходять за межі шахрайства з рекламою
Нині основна мета — монетизація реферального трафіку, але кінцеві точки можуть змінюватися без оновлення розширення, попереджає Такнер. Це відкриває можливість переадресації на фішингові сторінки або сайти з шкідливими завантаженнями.
У прикладі з Predator Search шість однакових запитів привели до чотирьох різних місць — від прямих результатів Yahoo з партнерськими тегами до проміжних доменів на кшталт searchlio.net і переходів через searchtosearch.com.
Найбільший активний кластер — «Bing-Search» (37 розширень, 2,2 млн користувачів), який часто просували через рекламу Bidbrain. Інша хвиля — «SecuryBrowse» із 58 розширеннями та 4,9 млн користувачів, що під виглядом «безпекових» інструментів пропонувала Fire Shield, Securify та WatchTower.
Що робити користувачам
Дослідник повідомив, що більшість цих розширень на момент публікації звіту вже видалили з Chrome Web Store, однак з’являються нові. Користувачам радять видалити розширення зі списку Socket, виконати повне антивірусне сканування та не встановлювати зайві інструменти від невідомих видавців.
BleepingComputer надіслав запит до Google щодо висновків Socket, але відповіді на момент публікації не отримав.
