Более 13 миллионов пользователей Chrome установили расширения, которые незаметно перехватывают поисковые запросы и передают их посторонним серверам. Специалисты Socket обнаружили 319 таких дополнений, причём многие годами скрывались от поиска в официальном магазине Google.
Исследователь Джон Такнер выявил 264 ранее неизвестных расширения с 8,7 миллиона пользователей. Вместе с предыдущими находками число подозрительных дополнений достигло 319, а общая аудитория составила около 13,4 миллиона человек. Некоторые работают с 2016 года, поэтому речь идёт не об одной атаке, а о многолетней практике перехвата поискового трафика.
Расширения рекламируют как инструменты безопасного поиска, конвертеры PDF, помощники для поиска инструкций и сервисы с искусственным интеллектом. После установки браузер меняет поисковую систему по умолчанию. Каждый запрос сначала поступает на промежуточный сервер оператора, который записывает поисковую фразу и затем перенаправляет пользователя в Yahoo или Bing.
Главный мотив связан с рекламными выплатами. Yahoo и Microsoft позволяют партнёрам зарабатывать на привлечённых поисковых запросах. Операторы расширений добавляют специальные идентификаторы, включая hspart, hsimp, PC и PTAG, чтобы получать вознаграждение. При этом промежуточный сервер позволяет собирать историю поиска, потенциально связывая запросы с конкретным пользователем.
Некоторые дополнения практически не содержат программного кода. Например, Safe Game Search меняет поисковую систему через стандартный параметр chrome_settings_overrides в файле manifest.json. Расширению не нужны дополнительные разрешения, фоновые процессы и скрипты для страниц. Поэтому обычная проверка запрашиваемых полномочий способна пропустить подозрительное поведение.
Особенно показателен Predator Search с 50 тысячами пользователей. Шесть одинаковых запросов через его сервер привели к четырём разным результатам, включая Yahoo, сторонние поисковые страницы и ошибку Cloudflare. Оператор способен менять направление каждого перехода. Исследователи допускают, что подобный механизм можно использовать для фишинговых атак, но не утверждают, что обнаружили такое применение.
Среди установленных операторов выделяется Intango LTD со 111 расширениями и примерно 2,2 миллиона пользователей. Ещё 58 дополнений семейства SecuryBrowse набрали около 4,9 миллиона пользователей. Большинство подобных продуктов скрыты из поиска Chrome Web Store, хотя доступны по прямой ссылке. Для распространения используют рекламные сети Google Ads и Bidbrain.
В опубликованном исследовании Socket описала, как выявляла операторов через рекламные объявления, домены и партнёрские идентификаторы. Наличие расширения в официальном магазине не гарантирует безопасности. Пользователям полезно проверить поисковую систему по умолчанию и удалить незнакомые дополнения, особенно если браузер начал перенаправлять запросы через посторонние сайты.
