Las extensiones de Google Chrome siguen sin tener una seguridad garantizada al 100%. Cuando instalamos una popular, tenemos bastante seguridad de que no nos va a meter un virus. Sin embargo, han descubierto 17 extensiones para Google Chrome y Edge con millones de descargas que modificaban los resultados de búsqueda para introducir resultados maliciosos.
El ataque, bautizado por Avast como CacheFlow, afecta a un total de 28 extensiones, incluyendo algunas como Video er for Facebook, Vimeo Video er, Instagram Story er y VK Unblock. España se encuentra en el quinto puesto de países más afectados por estas extensiones, sólo por detrás de Brasil, Ucrania, Francia y Argentina.
Modificando los resultados de Google
El ataque comenzaba cuando los s descargaban las extensiones maliciosas. Una vez instalada, la extensión mandaba solicitudes de analítica, que imitaban a las de Google Analytics, a un servidor remoto. A partir de ahí, el servidor mandaba una cabecera de Cache-Control HTTP que contenía comandos ocultos para descargar una segunda carga que era la encargada de descargar el código JavaScript malicioso final. Todo ello era difícil de detectar, ya que este tipo de solicitudes no se había detectado hasta la fecha.
búsqueda en Chrome y Edge, como Google, Bing y Yahoo, para llevar al a otras webs. Esto podía dar pie por ejemplo a phishing, llevando por ejemplo a una web que se haga pasar por PayPal en lugar de la red. Los enlaces que se modificaban eran los de los anuncios, los cuales salen al principio en cada búsqueda.
La extensión estaba configurada para no realizar ningún comportamiento sospechoso durante los tres primeros días después de su instalación. Además, comprobaba si el era avanzado o un desarrollador analizando las extensiones que tenía instaladas, así como si visitaba enlaces como .dev, .local o .localhost.
Listado de las 17 extensiones maliciosas
Todos estos detalles permitieron a los desarrolladores operar sin ser descubiertos con las extensiones, llegando a infectar a millones de s. La campaña de infección lleva activa por lo menos desde octubre de 2017. El listado de extensiones, con su correspondiente código para identificarlas en la tienda de extensiones de Chrome, es el siguiente:
- Direct Message for Instagram – mdpgppkombninhkfhaggckdmenlhmg
- DM for Instagram – fgaapohcdolaiaijobecfleiohcfhdfb
- Invisible mode for Instagram Direct Message – iibnodnghffmdcebaglfgnfkgemcbchf
- er for Instagram – olkpikmlhoaojbbmmpejnimiglejmboe
- App Phone for Instagram – bhfoemlllidnfefgkeaeocnageepbael
- Stories for Instagram – nilbfjdbacfdodpbdondbbkmoigehodg
- Universal Video er – eikbfklcjampfnmclhjeifbmfkpkfpbn
- Video er for FaceBook™ – pfnmibjifkhhblmdmaocfohebdpfppkf
- Vimeo™ Video er – cgpbghdbejagejmciefmekcklikpoeel
- Zoomer for Instagram and FaceBook – klejifgmmnkgejbhgmpgajemhlnijlib
- VK UnBlock. Works fast. – ceoldlgkhdbnnmojajjgfapagjccblib
- Odnoklassniki UnBlock. Works quickly. – mnafnfdagggclnaggnjajohakfbppaih
- photo to Instagram™ – oknpgmaeedlbdichgaghebhiknmghffa
- Spotify Music er – pcaaejaejpolbbchlmbdjfiggojefllp
- The New York Times News – lmcajpniijhhhpcnhleibgiehhicjlnk
- FORBES – lgjogljbnbfjcaigalbhiagkboajmkkj
- Скачать фото и видео из Instagram – akdbogfpgohikflhccclloneidjkogog
Todas las extensiones afectadas fueron eliminadas el 18 de septiembre de 2020 por parte de Microsoft y Google para evitar que el resto de s las utilizasen. Además, también las hasn borrado de los navegadores de los s afectados.
