319 extensiones de Chrome desviaban las búsquedas de sus usuarios a través de servidores controlados por sus operadores para obtener ingresos publicitarios de Bing y Yahoo. Socket contabilizó 13,4 millones de instalaciones en total; su investigación, firmada por John Tuckner, añade 264 complementos a los 57 que había identificado en abril de 2025.
Las extensiones se anunciaban como conversores de PDF, buscadores de manuales, herramientas de búsqueda segura o asistentes de inteligencia artificial. Pero, según Socket, su función principal era cambiar el buscador predeterminado y encaminar cada consulta por una cadena de servidores antes de enviarla a Bing o Yahoo. Los operadores podían así cobrar comisiones de referido asociadas a las búsquedas.
Un cambio de buscador con muy poco código
El mecanismo puede apoyarse en chrome_settings_overrides, una opción del manifiesto de una extensión que permite modificar el proveedor de búsqueda predeterminado. Socket analizó un complemento compuesto únicamente por un manifiesto y unos iconos: no incluía scripts en segundo plano ni scripts de contenido y tampoco pedía permisos adicionales.
Ese diseño mínimo puede hacer que una extensión parezca poco peligrosa si se juzga solo por los permisos que solicita. Sin embargo, el cambio de buscador basta para que las consultas pasen primero por la infraestructura del operador. Socket advierte de que las búsquedas podían quedar asociadas a un identificador único, lo que permitiría relacionarlas a lo largo del tiempo.
“The extension never changed; the proxy chose each destination as the search came in.”
— John Tuckner, Socket
La prueba citada por Tuckner fue Predator Search: seis búsquedas idénticas terminaron en cuatro destinos diferentes. Algunas llegaron directamente a Yahoo con etiquetas de socio; otras pasaron por páginas intermedias o acabaron en una página de error de Cloudflare. La extensión permaneció igual: era el servidor proxy el que decidía adónde enviar cada consulta.
Socket señala que el destino podría cambiar sin actualizar el complemento. Aunque la mayoría de las redirecciones observadas servían para monetizar búsquedas, el operador también podría dirigir consultas concretas a páginas de phishing, resultados falsos o descargas maliciosas. Malwarebytes precisa que su revisión no encontró pruebas de que estas extensiones hubieran realizado esas redirecciones maliciosas.
Anuncios y fichas ocultas en Chrome Web Store
La mayoría de los complementos identificados estaba marcada como “no listada” en Chrome Web Store. Sus fichas podían abrirse mediante un enlace directo, pero no aparecían en las búsquedas de la tienda. Socket describe anuncios en sitios web y redes publicitarias que promocionaban herramientas para resolver tareas puntuales y conducían a esas fichas de instalación.
Entre los grupos destacados, SecuryBrowse sumaba 4,9 millones de usuarios repartidos en 58 extensiones con nombres de apariencia protectora, como Fire Shield, Securify y WatchTower. El grupo Bing-Search reunía 37 extensiones y 2,2 millones de usuarios, y era promocionado a menudo mediante anuncios de Bidbrain. En conjunto, ambos grupos representaban 95 complementos y 7,1 millones de usuarios.
La investigación sitúa el patrón a lo largo de una década, con extensiones rastreadas desde 2016. En el hallazgo previo, publicado en abril de 2025, Tuckner había identificado 57 complementos con seis millones de usuarios; la nueva investigación incorpora otros 264, con 8,7 millones de usuarios adicionales.
Qué revisar y qué queda pendiente
Socket recomienda comprobar si alguna extensión instalada aparece en su lista y eliminarla. También conviene revisar el buscador predeterminado en los ajustes de Chrome y ejecutar un análisis antivirus completo, como indica SoftZone. Malwarebytes propone revisar los complementos desde la página de extensiones del navegador y retirar los que no se reconozcan o no sean de confianza.
La mayoría de las extensiones señaladas ya había sido retirada de Chrome Web Store cuando se publicó la investigación, según Socket y BleepingComputer. Aun así, Socket afirma que siguen apareciendo variantes nuevas. BleepingComputer indicó que había pedido comentarios a Google sobre los hallazgos y que no había recibido respuesta al publicar su artículo.
Fuentes: SoftZone, Socket, BleepingComputer, Malwarebytes
