Una sofisticada campaña de ciberespionaje ha logrado comprometer la seguridad de aproximadamente 4,3 millones de usuarios de Google Chrome y Microsoft Edge a lo largo de un periodo de siete años. Según informan investigadores de seguridad de Koi a través del medio The Register, los atacantes, apodados ShadyPanda, ejecutaron una estrategia de paciencia extrema: publicaron extensiones legítimas y esperaron a acumular una base masiva de usuarios y buenas reseñas antes de inyectar el código malicioso.
El modus operandi se basaba en la confianza. Estas herramientas, muchas de ellas disfrazadas de utilidades de productividad con estatus de Destacado y Verificado, funcionaron correctamente durante años. Sin embargo, los atacantes lanzaron posteriormente actualizaciones automáticas que transformaron estas aplicaciones en plataformas de vigilancia silenciosa, eludiendo los controles iniciales de las tiendas de extensiones. Google ha asegurado que ninguna de estas extensiones está disponible ya en su Chrome Web Store.
Extensiones de Chrome con puertas traseras y envío de datos a China
La investigación destaca casos alarmantes como el de la extensión Clean Master, publicada por Starlab Technology. Tras superar las 200.000 instalaciones, recibió a mediados de 2024 una actualización que introducía una puerta trasera para la ejecución remota de código. Este malware permitía una vigilancia total del navegador, descargando instrucciones cada hora y accediendo a cualquier sitio web visitado, incluso bajo conexiones HTTPS.
Te interesa 👉 Las mejores extensiones de Chrome
Otro caso crítico señalado es el de WeTab, una extensión que acumuló tres millones de instalaciones. Según el informe, esta herramienta actuaba como una plataforma de espionaje, capturando cada URL visitada, consultas de búsqueda y movimientos del ratón para enviarlos en tiempo real a servidores ubicados en China. El peligro radicaba en que los permisos de la extensión ya incluían acceso a todas las URL y cookies.
Tras la publicación del informe, un portavoz de Microsoft confirmó a The Register que han eliminado todas las extensiones identificadas como maliciosas de la tienda de complementos de Edge. No obstante, los investigadores advierten que, aunque las extensiones hayan desaparecido de las tiendas, la infraestructura de ataque podría seguir activa en los navegadores de los usuarios que ya las tenían instaladas si no se eliminan manualmente.
