Una investigación de Socket identificó 19 extensiones maliciosas: 18 publicadas para Google Chrome y una para Microsoft Edge. Algunas podían robar credenciales, datos del navegador y secretos de billeteras de criptomonedas. Si tienes una extensión sospechosa, desactívala, elimínala y cambia las contraseñas que hayas usado mientras estaba instalada.
Qué se descubrió
El informe no describe simplemente aplicaciones falsas. En varios casos, los atacantes publicaron una extensión que funcionaba con normalidad y después distribuyeron una actualización con código malicioso. También compraron extensiones que ya tenían usuarios. Ese método es peligroso porque el nombre, el icono y la función visible pueden seguir siendo los mismos mientras cambia lo que el complemento ejecuta en segundo plano.
La campaña incluía 18 extensiones de Chrome y una de Edge. La más expuesta era Enable Right Click & Copy — Smart Unlock + OCR, con una superficie potencial de unos 70.000 usuarios en Chrome y 10.000 en Edge. Esa cifra representa instalaciones potenciales, no una confirmación de que todas las personas hayan sufrido un robo. Socket también identificó 16 módulos con funciones como vaciado de billeteras, captura de credenciales, robo de sesiones, extracción del historial y señuelos de tipo ClickFix.
Cómo operaba el ataque
Las extensiones establecían comunicación con servidores de mando y control mediante WebSocket. Desde allí podían recibir módulos adicionales y ejecutarlos según las instrucciones del atacante. El análisis describe además la eliminación de cabeceras de seguridad CSP y la inyección de JavaScript en páginas visitadas. En la práctica, esto podía exponer formularios, sesiones abiertas y operaciones realizadas en sitios de intercambio o billeteras.
El riesgo no se limita a quien tiene criptomonedas. Una extensión con permisos amplios puede leer o modificar el contenido de las páginas que visitas. Si el navegador se usa para correo, banca, redes sociales o trabajo, una extensión comprometida puede convertirse en un punto de acceso a información sensible.
Qué debes hacer en Chrome
- Abre Menú > Extensiones > Gestionar extensiones y revisa el nombre, el desarrollador y los permisos de cada complemento.
- Elimina cualquier extensión que no reconozcas o que ya no necesites. Si aparece en la lista del informe de Socket, no la conserves para “probarla”.
- En las extensiones legítimas, limita “Puede leer y cambiar datos de sitios” a sitios específicos o a “al seleccionar la extensión”, cuando la función lo permita.
- Actualiza Chrome y Edge desde sus propios menús, no desde ventanas emergentes de una página web.
- Si usaste una billetera, un intercambio o una cuenta importante con la extensión instalada, cambia la contraseña desde un dispositivo confiable y activa la autenticación multifactor. Para una billetera de autocustodia, considera mover los fondos a una cuenta o dispositivo que no haya estado expuesto.
Google explica que los permisos de una extensión pueden modificarse y que el acceso a sitios puede limitarse a páginas concretas. La tienda oficial reduce riesgos, pero no garantiza que una actualización futura de una extensión legítima sea inofensiva; por eso conviene revisar periódicamente lo instalado.
Qué significa para usuarios de Perú y Latinoamérica
El incidente no depende del país: una extensión distribuida desde Chrome Web Store o Edge puede actualizarse en equipos de Perú igual que en cualquier otra región. El riesgo aumenta si el navegador se usa para banca por internet, exchanges internacionales o billeteras instaladas como extensiones. No compartas frases de recuperación por correo o formularios web y no instales complementos recomendados por anuncios, grupos de Telegram o mensajes de soporte no verificados.
Conclusión
El dato central no es que todas las extensiones sean peligrosas, sino que una extensión aparentemente normal puede recibir una actualización maliciosa. Mantener una lista corta, revisar permisos y actuar rápido después de una sospecha reduce la exposición.
Enlaces internos sugeridos: Time4Popcorn: un actualizador inseguro expuso millones de PC, Qué hace whesvc en Windows 11 y por qué no es spyware y OneDrive incorpora nuevas funciones de IA con Copilot. El primero es el enlace más relevante; los otros dos solo deben incorporarse si se enlazan desde un bloque de “más sobre seguridad y software”, no dentro del cuerpo como si fueran una continuación directa.
Fuentes: investigación de Socket; The Hacker News; ayuda oficial de Chrome Web Store.
No hay comentarios.:
Publicar un comentario