Cuando la tienda es la amenaza: 108 extensiones de Chrome maliciosas, un C2, 20 000 instalaciones

El 14 de abril, la empresa de seguridad de aplicaciones Socket reveló una campaña coordinada de extensiones maliciosas en la Chrome Web Store. El investigador Kush Pandya encontró 108 extensiones publicadas bajo cinco identidades de editor falsas —Yana Project, GameGen, SideGames, Rodeo Games e InterAlt— todas apuntando a un mismo servidor de mando y control (C2) en 144.126.135[.]238. Entre todas, las extensiones habían sido instaladas unas 20 000 veces. The Hacker News corroboró las cifras el mismo día.

Las extensiones no eran una simple molestia de URL rota ni un poco de fraude publicitario pegado a software real. Eran un kit de herramientas:

• 54 extensiones robaban la identidad de Google del usuario conectado raspando el token Bearer OAuth2 —la cadena efímera que Chrome envía para identificarte ante los servicios de Google— en el momento en que cargaba la pestaña.
• 45 extensiones llevaban lo que Socket describe como una puerta trasera universal: abrían URL arbitrarias al arrancar el navegador, según comandos obtenidos del C2. Esa es una primitiva para fraude de clics, descargas drive-by o navegación silenciosa hacia una página de exploit.
• Otras inyectaban HTML controlado por el atacante en sitios reales, despojaban las cabeceras de seguridad HTTP para que el contenido inyectado pudiera ejecutarse de verdad, secuestraban sesiones de Telegram Web con un reloj de 15 segundos, canalizaban solicitudes de traducción a través del atacante o envolvían páginas de YouTube y TikTok con superposiciones de apuestas.

El código llevaba comentarios en ruso en las rutas de autenticación y robo de sesión. El investigador señala que la identidad del operador es desconocida; la infraestructura estaba alojada en un VPS de Contabo, con subdominios divididos por función (recolección de identidad, ejecución de comandos, monetización, secuestro de sesión).

En el momento en que estalló la noticia, ninguna de las 108 extensiones había sido retirada de la Web Store.

Qué es realmente una extensión, y por qué esto no es solo otra historia de malware.

La mayoría de la gente instala extensiones de navegador como instala tipografías: encuentra una que parece útil, hace clic en el botón azul y se olvida. El diálogo de «permisos» que a veces aparece es un vestigio de tiempos más tempranos y más claros. En el modelo actual de extensiones de Chrome, una fracción muy grande de extensiones reales pide algo cercano a lo siguiente, y el usuario no tiene ninguna forma significativa de decir que no a medias:

Las extensiones están por encima de la política de mismo origen que mantiene las pestañas aisladas entre sí. Ese es precisamente su propósito: un bloqueador de anuncios no funcionaría si no pudiera leer el anuncio en cada sitio, y un gestor de contraseñas no funcionaría si no pudiera mirar cada formulario de inicio de sesión. El navegador, con toda razón, no distingue en tiempo de ejecución entre «bloqueador de anuncios leyendo la página para ocultar un banner» y «extensión maliciosa leyendo la página para robar tu token de sesión». Es la misma capacidad, concedida por razones distintas.

Lo que hicieron las 108 extensiones de Socket no es, por tanto, algún elusión ingeniosa de la seguridad de Chrome. Es el comportamiento normal y documentado de la plataforma de extensiones, apuntado al servidor de un operador en lugar de al beneficio del usuario.

Cinco editores falsos, un servidor, 20 000 instalaciones.

Lo que importa es la forma de la campaña. Un solo actor, un puñado de cuentas de editor marioneta, un catálogo construido para parecer superficialmente diverso —tragaperras y keno, «potenciadores» de YouTube y TikTok, utilidades de barra lateral de Telegram, herramientas de traducción, decoraciones del cursor—, todas enrutando a la misma IP. Tomadas individualmente, cualquiera de estas extensiones parece basura de baja calidad. Tomadas en conjunto, son una cosecha industrializada.

Cinco editores no son el límite exterior del patrón; son su superficie. Paralelamente a la divulgación de Socket, la firma LayerX Security publicó una ampliación de lo que llaman la campaña GhostPoster, rastreando extensiones maliciosas relacionadas en Chrome, Firefox y Edge, con descargas acumuladas en los cientos de miles y orígenes que se remontan a 2020. La conclusión no es que se haya pillado a una banda concreta. La conclusión es que el modelo de tienda de extensiones —el usuario confía en la tienda, la tienda revisa al enviar, la tienda después confía sobre todo en la identidad del editor— lleva años fallando en silencio, a gran escala.

La respuesta de Bromure: no permitir extensiones en absoluto.

Bromure es un navegador con prioridad de seguridad. Cada pestaña se ejecuta dentro de una VM Linux desechable (máquina virtual: su propia computadora separada, borrada cuando se cierra la ventana) en tu Mac. Dentro de esa VM instalamos Chromium con una política reducida. Dos líneas de esa política importan para esta historia:

• chrome://extensions está bloqueado.
• chromewebstore.google.com está bloqueado.

No hay un flujo de «avisar al usuario y dejar que continúe», ni «ajustes avanzados para permitirlo igualmente», ni excepción por modo desarrollador por la que una página de phishing pueda guiarte. El usuario no puede alcanzar la Web Store desde una sesión de Bromure, y aunque ya tuviera el archivo .crx en disco, la página de extensiones no está disponible para cargarlo. La superficie de ataque en la que se apoya la campaña GhostPoster no existe aquí.

Esto, para que quede claro, es una decisión de diseño deliberada, no un descuido. La postura de Bromure es que cualquier navegador que permita extensiones instalables por el usuario es estructuralmente vulnerable a campañas como esta. No «vulnerable si la tienda se relaja». Estructuralmente vulnerable. La revisión de la tienda es lo único que se interpone entre el usuario y un programa con acceso a toda la página, y «la revisión de la tienda» acaba de fallar públicamente a escala industrial, en una campaña con nombre, con infraestructura de operador con nombre, con 20 000 instalaciones. Pedirle al usuario que juzgue mejor que el equipo revisor de Google no es un modelo de seguridad.

La versión dura de esta postura —la versión de Bromure— es eliminar la capacidad. Nada de extensiones instalables por el usuario. Nada de interruptor avanzado. Nada de «extensiones no listadas, cargadas desde un .crx, para usuarios avanzados». El atacante no puede explotar una capacidad que el navegador no ofrece.

Lo que cuesta y por qué el compromiso es honesto.

Siendo honestos: es una concesión real, y merece nombrarse con claridad.

Un matiz merece decirse sin rodeos. Bromure sí carga, dentro de la VM, un pequeño número de extensiones propias: un puente de credenciales para hablar con el gestor de contraseñas de tu Mac, un bloqueador de WebRTC para los casos de fuga de IP sobre los que ya hemos escrito, y un par de ayudantes de instrumentación. Forman parte de la propia arquitectura del navegador, grabadas en la imagen de disco, y no son algo que una sesión en ejecución pueda añadir o reemplazar. No son un resquicio por el que instalar extensiones de usuario; son el navegador siendo el navegador. Llamarlas «extensiones» es nombrar honestamente el mecanismo, no una tienda secreta.

El modelo de revisión es lo que está roto.

Es tentador leer la historia de las 108 extensiones como una historia específicamente sobre Google. No lo es. Según el rastreo más amplio de LayerX, la tienda de complementos de Mozilla y la tienda de Edge de Microsoft han albergado campañas relacionadas durante años, en algunos casos originándose en Edge y extendiéndose después a Chrome. El factor común no es un equipo revisor concreto. Es el modelo: enviar, aprobar, publicar y luego empujar actualizaciones automáticas a los usuarios instalados con supervisión continua mínima. Cualquier programa que vaya a ejecutarse en millones de máquinas bajo ese modelo acabará, tarde o temprano, atrayendo a gente dispuesta a industrializar la brecha.

Este es un navegador más pequeño debido a esa decisión. Ese es el sentido. Un navegador con prioridad de seguridad que sigue diciendo que sí a cada extensión de la Web Store no es un navegador con prioridad de seguridad; es un navegador cualquiera con otro logo. Cuando la tienda es la amenaza, la única respuesta honesta es no aceptar extensiones de la tienda. En nuestra opinión, tu Mac acabará más seguro.

Si quieres lo que hace Bromure, instálalo y pruébalo como predeterminado para la mitad arriesgada de tu navegación: los enlaces que clicaste en chats de grupo, los resultados de búsqueda de los que no estás muy seguro, los adjuntos de los correos de trabajo que siempre parecen abrir «una página». Si el operador de GhostPoster sigue ahí fuera y las próximas 108 extensiones aterrizan mañana, una sesión de Bromure no se enterará.