319 расширений Chrome с 13,4 млн установок подменяли поиск ради рекламных отчислений

Масштабная кампания по перехвату поисковых запросов охватила 319 расширений для Chrome с совокупными 13,4 млн установок. Расширения направляли поисковые запросы пользователей через отслеживающие серверы и зарабатывали на партнёрских выплатах от Bing и Yahoo.

Новый отчёт Джона Такнера (John Tuckner) из компании Socket развивает его же находку апреля 2025 года. Тогда исследователь обнаружил 57 расширений с 6 млн пользователей, теперь к ним добавились 264 новых дополнения ещё с 8,7 млн пользователей.

По словам Такнера, расширения создала горстка организованных операторов, действовавших по одной схеме: незаметно подменить поисковую систему по умолчанию, пропустить каждый запрос через подозрительный прокси-сервер и получать от Yahoo или Bing реферальные выплаты по идентификатору партнёра по синдикации.

Маскировка и распространение

Расширения выдавали себя за конвертеры PDF, сервисы поиска инструкций, инструменты безопасного поиска и ИИ-поисковики. На деле большинство из них просто проводили запрос через цепочку сайтов, пока тот не попадал в Bing или Yahoo.

Хотя дополнения размещались в официальном каталоге Chrome Web Store, они были скрыты из списков и не появлялись в результатах поиска магазина. Продвигались они через сомнительную рекламу на сторонних сайтах.

Кода для такой подмены почти не требуется: встроенный в Chrome параметр chrome_settings_overrides позволяет расширению заменить поисковую систему по умолчанию. Один из разобранных в отчёте примеров состоял лишь из манифеста и иконок, без фоновых и контентных скриптов и без запроса каких-либо разрешений.

Риск не ограничивается рекламным мошенничеством

Сейчас операторы зарабатывают на поисковых рефералах. Однако Такнер предупреждает, что конечный адрес можно изменить в любой момент, не обновляя само расширение, например перенаправлять пользователей на фишинговые сайты или страницы с вредоносными загрузками. По его словам, реферальный доход служит выгодной приманкой, пока оператор прокси копит данные и выжидает появления подходящих целей.

Наглядный пример — расширение Predator Search. Шесть одинаковых запросов привели исследователя в четыре разных места: напрямую в Yahoo с партнёрскими метками, на страницу searchlio.net, через searchtosearch.com на mcftink.com и затем в Yahoo, а также на страницу ошибки Cloudflare. «Расширение не менялось — прокси выбирал пункт назначения в момент поступления запроса», — отметил Такнер.

Крупнейший из недавно активных кластеров, Bing-Search, включает 37 расширений с 2,2 млн пользователей, которые часто продвигались через рекламу Bidbrain. Ещё одна волна, SecuryBrowse, насчитывает 58 расширений с 4,9 млн пользователей и делала ставку на тематику безопасности: Fire Shield, Securify, WatchTower.

К моменту публикации отчёта большинство расширений было удалено из Chrome Web Store, но новые появляются постоянно. Пользователям рекомендуют удалить дополнения из списка Socket, выполнить полную антивирусную проверку и не устанавливать лишние расширения от неизвестных издателей. На запрос Bleeping Computer о комментарии Google к моменту публикации не ответила.

Источник: Bleeping Computer