Wprowadzenie do problemu / definicja
Badacze bezpieczeństwa ujawnili szeroko zakrojoną kampanię związaną z rozszerzeniami Google Chrome, które przechwytywały zapytania wpisywane przez użytkowników do przeglądarki. Mechanizm polegał na zmianie toru obsługi wyszukiwania tak, aby frazy nie trafiały bezpośrednio do wybranej wyszukiwarki, lecz były najpierw przekierowywane przez infrastrukturę kontrolowaną przez operatorów dodatków.
Choć tego typu działanie bywa przedstawiane jako agresywna monetyzacja ruchu, jego konsekwencje wykraczają poza zwykłe nadużycia reklamowe. Przejęcie pośredniego etapu wyszukiwania oznacza bowiem możliwość obserwowania zapytań użytkownika, modyfikowania ścieżki przekierowania oraz potencjalnego wykorzystania infrastruktury do dalszych działań przestępczych.
W skrócie
- Zidentyfikowano 319 rozszerzeń Chrome powiązanych z przejmowaniem wyszukiwań.
- Łączna skala kampanii objęła około 13,4 mln instalacji raportowanych na przestrzeni wielu lat.
- Dodatki były prezentowane jako narzędzia do wyszukiwania PDF, instrukcji, bezpiecznego wyszukiwania lub funkcji AI.
- Faktyczne działanie polegało na przekierowywaniu zapytań przez serwery pośredniczące.
- Model ten służył głównie do monetyzacji ruchu afiliacyjnego, ale stwarzał też warunki do phishingu, malvertisingu i dystrybucji malware.
Kontekst / historia
Opisane ustalenia wpisują się w szerszy, wieloletni problem nadużyć w ekosystemie rozszerzeń przeglądarkowych. Według badaczy aktywność związana z podobnymi dodatkami mogła trwać co najmniej od 2016 roku, co sugeruje trwały i dobrze zorganizowany model operacyjny.
Istotnym elementem tego zjawiska jest rozmycie granicy między potencjalnie niechcianym oprogramowaniem a realnym incydentem bezpieczeństwa. Z punktu widzenia użytkownika rozszerzenie może wydawać się niegroźne, ponieważ nie wykrada bezpośrednio haseł ani nie instaluje widocznego malware. W praktyce samo przejęcie ustawień wyszukiwania i ruchu sieciowego tworzy jednak cenny kanał obserwacji i wpływu.
Dodatkowym problemem był sposób dystrybucji. Część rozszerzeń była promowana poza standardowym mechanizmem odkrywania dodatków, między innymi za pośrednictwem reklam, stron pośrednich i komunikatów marketingowych budujących pozory użyteczności.
Analiza techniczna
Techniczna podstawa kampanii opierała się na legalnym mechanizmie przeglądarki Chrome, czyli konfiguracji chrome_settings_overrides. Funkcja ta pozwala rozszerzeniu zmienić domyślnego dostawcę wyszukiwania bez konieczności żądania szerokiego zestawu uprawnień.
W analizowanych przypadkach część dodatków była bardzo prosta konstrukcyjnie. Zawierały głównie manifest i podstawowe zasoby, bez rozbudowanych skryptów tła czy skryptów treści. To ważne, ponieważ taki minimalizm może utrudniać szybką ocenę ryzyka przez użytkownika i sprawiać wrażenie, że rozszerzenie jest technicznie nieszkodliwe.
Po instalacji dodatek przejmował obsługę zapytań wyszukiwania i kierował ruch przez serwer proxy kontrolowany przez operatora. Dopiero z tego serwera użytkownik trafiał do docelowej wyszukiwarki, zwykle z parametrami afiliacyjnymi lub syndykacyjnymi. Taki model dawał operatorowi kilka przewag jednocześnie:
- wgląd w zapytania użytkownika,
- możliwość dynamicznej zmiany miejsca przekierowania,
- zarabianie na ruchu przez systemy partnerskie,
- ukrycie właściwej logiki działania po stronie backendu.
Najpoważniejsze ryzyko wynika z faktu, że końcowe zachowanie kampanii nie musi być zapisane w samym rozszerzeniu. Jeśli logika przekierowania znajduje się po stronie serwera, operator może zmienić działanie całej infrastruktury bez publikowania nowej wersji dodatku. To oznacza, że rozszerzenie może jednego dnia kierować ruch do legalnej wyszukiwarki, a kolejnego do strony phishingowej, fałszywego komunikatu aktualizacji lub witryny dostarczającej złośliwe oprogramowanie.
Badacze zwracali również uwagę na dynamiczny charakter tej infrastruktury. Identyczne zapytania mogły prowadzić do różnych lokalizacji docelowych, co potwierdzało, że decyzje o przekierowaniu były podejmowane po stronie serwera, a nie lokalnie na urządzeniu użytkownika.
Konsekwencje / ryzyko
Najbardziej oczywistą konsekwencją jest utrata prywatności. Każde wyszukiwanie przechodzące przez zewnętrzny serwer może zostać zapisane, skorelowane z inną aktywnością i wykorzystane do profilowania użytkownika. Nawet jeśli operator obecnie koncentruje się na monetyzacji reklamowej, sam dostęp do strumienia zapytań ma wysoką wartość analityczną.
W środowisku firmowym stawka jest jeszcze wyższa. Zapytania pracowników mogą zawierać nazwy projektów, dane kontrahentów, wewnętrzne adresy systemów, terminy operacyjne lub informacje o problemach technicznych. Taki zestaw metadanych może stanowić cenne źródło rozpoznania dla cyberprzestępców.
Nie można też pomijać ryzyka eskalacji. Kontrola nad pośrednim etapem przekierowania umożliwia selektywne podstawianie innych stron wybranym użytkownikom, w określonych regionach lub przedziałach czasowych. To utrudnia wykrywanie incydentów i sprzyja atakom oportunistycznym, których ślady są niestabilne i zależne od decyzji backendu.
Rekomendacje
Organizacje powinny traktować rozszerzenia przeglądarkowe jako pełnoprawny element powierzchni ataku. Oznacza to potrzebę ich inwentaryzacji, oceny ryzyka oraz ciągłej kontroli zgodności z politykami bezpieczeństwa.
- Przeprowadzić przegląd wszystkich zainstalowanych rozszerzeń Chrome i usunąć dodatki bez uzasadnienia biznesowego.
- Zweryfikować ustawienia domyślnej wyszukiwarki oraz listę dostawców wyszukiwania na stacjach roboczych.
- Wdrożyć polityki ograniczające możliwość instalacji rozszerzeń wyłącznie do zatwierdzonej listy.
- Monitorować ruch sieciowy pod kątem nietypowych pośredników obsługujących zapytania wyszukiwania.
- Analizować zgłoszenia użytkowników dotyczące nagłych zmian wyników wyszukiwania, przekierowań lub pojawienia się nowych kart.
- Uruchomić skanowanie AV i EDR na systemach, na których wykryto podejrzane dodatki.
- Uwzględnić rozszerzenia przeglądarkowe w threat huntingu oraz audytach konfiguracji endpointów.
W praktyce warto także stosować zasadę minimalizacji funkcji przeglądarki. Dodatki reklamowane jako pomocniki PDF, bezpieczne wyszukiwanie czy narzędzia AI powinny być wdrażane tylko wtedy, gdy istnieje jasno uzasadniona potrzeba biznesowa i przeprowadzono ich wcześniejszą ocenę bezpieczeństwa.
Podsumowanie
Sprawa 319 rozszerzeń Chrome pokazuje, że nawet bardzo proste dodatki mogą stanowić poważne zagrożenie dla prywatności i bezpieczeństwa. Mechanizm nie wymaga zaawansowanego malware ani szerokich uprawnień — wystarczy legalna funkcja zmiany dostawcy wyszukiwania oraz infrastruktura pośrednicząca kontrolowana przez operatora.
Z perspektywy obrony najważniejsza jest zmiana podejścia do rozszerzeń przeglądarkowych. Nie powinny być one traktowane jako niski priorytet, lecz jako element środowiska końcowego wymagający takiej samej kontroli jak inne komponenty oprogramowania użytkownika.