Um levantamento da empresa de segurança Socket, divulgado na quinta-feira (29), identificou 319 extensões para o Google Chrome que trocavam o buscador padrão do navegador e desviavam as pesquisas dos usuários para faturar com isso. Somadas, elas passam de 13,4 milhões de instalações, e o esquema estava ativo havia cerca de dez anos.
Como o golpe funcionava
As extensões se passavam por utilitários comuns: localizadores de PDF, ferramentas de “proteção” do navegador e atalhos para melhorar pesquisas. Depois de instaladas, mudavam o mecanismo de busca padrão para Yahoo ou Bing. A escolha tem motivo. Os dois buscadores repassam parte da receita de anúncios a parceiros que enviam tráfego, e identificam esse parceiro por um código de referência anexado ao endereço da pesquisa.
O truque estava no meio do caminho. Cada busca passava antes por um servidor proxy controlado pelos golpistas, que inseria um código de referência falso e só então entregava a página de resultados. Para quem digitava, nada parecia diferente. Para o Yahoo e o Bing, aquele tráfego vinha de empresas de fachada, que recebiam a comissão. Segundo a Socket, o mesmo proxy permitiria trocar resultados por páginas de phishing ou por downloads fraudulentos, o que leva o esquema da fraude publicitária para o risco direto ao usuário.
Escondidas dentro da loja oficial
As extensões estavam na Chrome Web Store, mas marcadas como “não listadas”. Com essa configuração, o item não aparece na busca da loja e só abre por link direto. Os golpistas espalhavam esses links em anúncios de buscadores e redes sociais. Com menos exposição, as extensões escapavam com mais facilidade dos mecanismos de proteção do Google.
O esquema se concentrava em poucos grupos de publicadores. O maior, chamado SecuryBrowse, reunia 58 extensões e quase 5 milhões de downloads. Em segundo vinha o Bing-Search, com 37 extensões e 2,2 milhões de usuários, distribuído fora do ambiente da Microsoft apesar do nome.
O que fazer agora
Quem usa Chrome no computador deve abrir o menu de extensões e remover qualquer uma que não reconheça ou não use. Vale olhar também em Configurações, na seção de mecanismo de pesquisa: se o padrão virou Yahoo ou Bing sem que você tenha escolhido, há grande chance de uma extensão intrusa estar por trás. Conversor de PDF, bloqueador genérico e “pesquisa turbinada” são iscas frequentes, e quase sempre existe alternativa no próprio navegador ou em sites conhecidos. Instalar extensão a partir de anúncio é a porta de entrada desse tipo de golpe; evite.
A maior parte das 319 extensões já foi apagada da Chrome Web Store, algumas antes mesmo da publicação do relatório. A remoção da loja, porém, não garante que elas saiam dos navegadores onde já estavam instaladas, e extensões semelhantes podem voltar ao catálogo com outros nomes.
