Extensão do Chrome pode sequestrar suas buscas (e você nem percebe)

Uma investigação publicada pela empresa de segurança Socket identificou 319 extensões do Google Chrome que alteram o mecanismo de busca padrão dos usuários e redirecionam suas pesquisas por servidores de terceiros. Juntas, essas ferramentas acumularam aproximadamente 13,4 milhões de instalações ao longo de uma década.

O relatório, conduzido pelo pesquisador John Tuckner, identificou 264 extensões adicionais em relação a uma investigação anterior, ampliando o alcance conhecido da operação em cerca de 8,7 milhões de instalações. As extensões se apresentam como ferramentas legítimas, incluindo conversores de PDF, buscadores de manuais, recursos de navegação segura e assistentes de pesquisa com inteligência artificial.

Entretanto, muitas delas não oferecem as funcionalidades anunciadas e servem principalmente para interceptar pesquisas. O objetivo identificado é gerar receita por meio de programas de publicidade associados aos mecanismos de busca Yahoo e Bing, mas os pesquisadores alertam que a infraestrutura também apresenta riscos à privacidade e à segurança.

Extensões podem alterar o Chrome sem executar código

Segundo a Socket, o Chrome possui um recurso chamado chrome_settings_overrides, que permite às extensões modificar configurações do navegador, incluindo o mecanismo de pesquisa padrão. Em um dos exemplos analisados, a extensão Safe Game Search continha apenas um arquivo de configuração e três ícones. Não havia scripts em segundo plano, interface própria ou solicitações de permissões adicionais.

Mesmo assim, a ferramenta conseguia modificar o destino das pesquisas realizadas pelo usuário. O Chrome apresenta um aviso durante a instalação de extensões que alteram o mecanismo de busca, mas, segundo os pesquisadores, essa confirmação não esclarece necessariamente todo o caminho percorrido pelas informações.

A maioria das extensões identificadas estava disponível na própria Chrome Web Store, porém não aparecia nas pesquisas da loja. Os responsáveis utilizavam anúncios em sites e páginas intermediárias para direcionar usuários até os links de instalação.

Pesquisas podem ser monitoradas e redirecionadas

Quando uma pessoa realiza uma pesquisa, a solicitação não é enviada diretamente ao Yahoo ou Bing. Primeiro, ela passa por servidores controlados pelos operadores das extensões. Isso permite que terceiros tenham acesso aos termos pesquisados, que podem estar associados a identificadores individuais. Para demonstrar o funcionamento do sistema, a Socket analisou a extensão Predator Search, que contabilizava aproximadamente 50 mil usuários.

Durante seis pesquisas idênticas, os pesquisadores observaram quatro caminhos de redirecionamento diferentes, incluindo encaminhamentos para o Yahoo, páginas intermediárias e uma página de erro da Cloudflare. A extensão permaneceu inalterada durante os testes, demonstrando que os operadores conseguiam modificar os destinos diretamente pelos servidores.

Embora a investigação não tenha comprovado o uso desses redirecionamentos para distribuir malware, Tuckner alerta que a mesma infraestrutura poderia encaminhar pesquisas específicas para páginas fraudulentas, resultados falsificados ou downloads maliciosos.

Operação existe há uma década

A investigação também revelou que essa prática não é recente. Os registros mais antigos encontrados pela Socket remontam a 2016. Entre os grupos identificados está o SecuryBrowse, responsável por 58 extensões com nomes relacionados à segurança, que alcançaram aproximadamente 4,9 milhões de usuários. Outro conjunto, identificado como Bing-Search, reúne 37 extensões que somaram cerca de 2,2 milhões de usuários, com campanhas de distribuição entre 2025 e 2026.

Grande parte das extensões já havia sido retirada da Chrome Web Store quando o relatório foi publicado. Entretanto, os pesquisadores observaram que novas ferramentas e páginas de distribuição continuavam surgindo.

Como proteger seu navegador?

Para verificar possíveis alterações, o usuário pode acessar chrome://extensions e remover extensões desconhecidas ou desnecessárias. Também é recomendado abrir Configurações > Mecanismo de pesquisa e confirmar se o buscador padrão continua sendo o escolhido.

O próprio Google alerta que mudanças inesperadas no mecanismo de pesquisa podem indicar a presença de software malicioso. A empresa também recomenda remover extensões responsáveis por alterações indesejadas nas configurações.

Fonte: Digitaltrends