319 estensioni di Chrome reindirizzavano le ricerche degli utenti attraverso server controllati dai loro operatori per ottenere entrate pubblicitarie da Bing e Yahoo. Socket ha conteggiato 13,4 milioni di installazioni complessive; la sua indagine, firmata da John Tuckner, aggiunge 264 componenti aggiuntivi ai 57 individuati nell’aprile 2025.
Le estensioni erano pubblicizzate come convertitori PDF, strumenti per cercare manuali, strumenti di ricerca sicura o assistenti di intelligenza artificiale. Ma, secondo Socket, la loro funzione principale era modificare il motore di ricerca predefinito e instradare ogni query attraverso una catena di server prima di inviarla a Bing o Yahoo. Gli operatori potevano così incassare commissioni di affiliazione associate alle ricerche.
Modificare il motore di ricerca con pochissimo codice
Il meccanismo può basarsi su chrome_settings_overrides, un’opzione del manifest di un’estensione che consente di modificare il provider di ricerca predefinito. Socket ha analizzato un componente aggiuntivo composto soltanto da un manifest e alcune icone: non includeva script in background né script di contenuto e non richiedeva autorizzazioni aggiuntive.
Questo design essenziale può far sembrare un’estensione poco pericolosa se la si giudica soltanto dalle autorizzazioni richieste. Tuttavia, la modifica del motore di ricerca è sufficiente a far passare prima le query attraverso l’infrastruttura dell’operatore. Socket avverte che le ricerche potevano essere associate a un identificatore univoco, consentendo di collegarle nel tempo.
“The extension never changed; the proxy chose each destination as the search came in.”
— John Tuckner, Socket
La prova citata da Tuckner è Predator Search: sei ricerche identiche sono finite su quattro destinazioni diverse. Alcune sono arrivate direttamente a Yahoo con tag di affiliazione; altre sono passate da pagine intermedie o sono finite su una pagina di errore di Cloudflare. L’estensione è rimasta invariata: era il server proxy a decidere dove inviare ogni query.
Socket segnala che la destinazione potrebbe cambiare senza aggiornare il componente aggiuntivo. Sebbene la maggior parte dei reindirizzamenti osservati servisse a monetizzare le ricerche, l’operatore potrebbe anche indirizzare query specifiche verso pagine di phishing, risultati falsi o download dannosi. Malwarebytes precisa che la sua analisi non ha trovato prove che queste estensioni abbiano effettuato tali reindirizzamenti dannosi.
Annunci e schede nascoste nel Chrome Web Store
La maggior parte dei componenti aggiuntivi individuati risultava contrassegnata come “non in elenco” nel Chrome Web Store. Le relative schede erano accessibili tramite un link diretto, ma non comparivano tra i risultati di ricerca dello store. Socket descrive annunci su siti web e reti pubblicitarie che promuovevano strumenti per risolvere attività specifiche e rimandavano alle relative schede di installazione.
Tra i gruppi più rilevanti, SecuryBrowse totalizzava 4,9 milioni di utenti distribuiti su 58 estensioni con nomi dall’aspetto rassicurante, come Fire Shield, Securify e WatchTower. Il gruppo Bing-Search comprendeva 37 estensioni e 2,2 milioni di utenti, ed era spesso promosso tramite annunci di Bidbrain. Nel complesso, i due gruppi rappresentavano 95 componenti aggiuntivi e 7,1 milioni di utenti.
L’indagine colloca questo schema nell’arco di un decennio, con estensioni tracciate a partire dal 2016. Nella precedente scoperta, pubblicata nell’aprile 2025, Tuckner aveva individuato 57 componenti aggiuntivi con sei milioni di utenti; la nuova indagine ne aggiunge altri 264, con ulteriori 8,7 milioni di utenti.
Cosa controllare e cosa resta da chiarire
Socket consiglia di verificare se una delle estensioni installate compare nel suo elenco e di rimuoverla. È inoltre opportuno controllare il motore di ricerca predefinito nelle impostazioni di Chrome ed eseguire un’analisi antivirus completa, come indica SoftZone. Malwarebytes suggerisce di controllare i componenti aggiuntivi dalla pagina delle estensioni del browser e rimuovere quelli che non si riconoscono o di cui non ci si fida.
Secondo Socket e BleepingComputer, al momento della pubblicazione dell’indagine la maggior parte delle estensioni segnalate era già stata rimossa dal Chrome Web Store. Socket afferma tuttavia che continuano a comparire nuove varianti. BleepingComputer ha riferito di aver chiesto a Google un commento sulle scoperte, senza ricevere risposta prima della pubblicazione dell’articolo.
Fonti: SoftZone, Socket, BleepingComputer, Malwarebytes
