Масштабная кампания по перехвату поисковых запросов с участием 319 расширений Chrome с общим количеством установленных расширений 13,4 миллиона перенаправляла поисковые запросы пользователей через серверы отслеживания для получения дохода от рекламы Bing и Yahoo.
Новый отчет Джона Такнера из Socket расширяет информацию об обнаружении исследователем в апреле 2025 года 57 расширений Chrome с 6 миллионами пользователей, добавляя 264 новых идентифицированных дополнения еще с 8,7 миллионами пользователей.
«Эти расширения были созданы несколькими организованными операторами, и все они руководствовались одной идеей: незаметно перехватывать управление поисковой системой браузера по умолчанию, направлять каждый запрос через подозрительный прокси-сервер и собирать партнерские реферальные платежи от Yahoo или Bing под идентификатором партнера по синдикации», — объяснил Такнер.
Расширения, полный список которых приведен в конце отчета Socket, выдают себя за конвертеры PDF, инструменты для ручного поиска, безопасного поиска и поиска с помощью искусственного интеллекта. Однако по большей части расширения просто перенаправляют пользователей на ряд сайтов, пока те не попадут на Bing или Yahoo.
Несмотря на то, что они размещены в Chrome Web Store, официальном портале Google для дополнений Chrome, по словам представителей Socket, они не указаны в списке и не появляются в результатах поиска пользователей в магазине расширений.
Вместо этого расширения продвигаются с помощью сомнительной рекламы на веб-сайтах.
Такнер объясняет, что многим из этих расширений почти не нужен код для достижения цели, поскольку встроенная в Chrome настройка chrome_settings_overrides позволяет им заменять поисковую систему по умолчанию.
Один из примеров, проанализированных в отчете, включает в себя только манифест и иконки, без фоновых скриптов, контентных скриптов или запрашиваемых разрешений.
Подобные расширения, перехватывающие управление браузером, уже давно стирают грань между потенциально нежелательными программами (ПНП) и вредоносным ПО. Мы за последние годы сообщал о сотнях подобных расширений.
Риск связан не только с мошенничеством в сфере рекламы
В настоящее время расширения нацелены на получение дохода за счет перенаправления поисковых запросов пользователей через сервер, контролируемый оператором, прежде чем они попадут в Yahoo или Bing.
Однако Такнер предупреждает, что конечный пункт назначения может измениться в любой момент без обновления расширения, в том числе пользователи могут быть перенаправлены на фишинговые сайты или вредоносные ресурсы.
«Доход от поисковых запросов — это прибыльная ниша, в то время как прокси-оператор может ждать, пока накопится достаточно данных и появятся цели, прежде чем перенаправить пользователей на вредоносные результаты поиска или целевые страницы для фишинга или других вредоносных загрузок», — объясняет Такнер.
Примером может служить расширение Predator Search, которое при шести идентичных поисковых запросах перенаправляло Такнера на четыре разных сайта.
«Шесть идентичных поисковых запросов, отправленных через прокси-сервер, привели на четыре разных сайта: непосредственно на Yahoo с партнерскими тегами (hspart=sz&hsimp=yhs-026), на целевую страницу searchlio.net, на searchtosearch.com, ведущий на второй домен с результатами поиска (mcftink.com), а затем на Yahoo, и на страницу с ошибкой Cloudflare, на которую нельзя было перейти», — сообщил Такнер.
«Расширение никогда не менялось; прокси-сервер выбирал каждый пункт назначения по мере поступления запросов».
Самый крупный из недавно активных кластеров расширений — «Bing-Search» — включает 37 расширений и 2,2 миллиона пользователей, которые часто продвигаются с помощью рекламы Bidbrain. Еще один кластер — «SecuryBrowse» — включает 58 расширений и 4,9 миллиона пользователей, продвигающих дополнения на тему безопасности, такие как Fire Shield, Securify и WatchTower.
По словам исследователя, большинство этих расширений были удалены из Chrome Web Store к моменту публикации отчета. Однако постоянно появляются новые.
Пользователям следует удалить расширения, перечисленные в отчете Socket, из своих веб-браузеров, выполнить полную антивирусную проверку системы и не загружать ненужные инструменты и дополнения для браузера от неизвестных разработчиков.
BleepingComputer обратился в Google за комментарием по поводу выводов Socket, но к моменту публикации ответа не получил.
