Угон поиска Chrome обнаружили у 319 расширений с суммарными 13,4 млн заявленных установок. Дополнения незаметно меняли поисковую систему браузера, прогоняли запросы через контролируемые операторами серверы и зарабатывали на партнёрских переходах в Bing и Yahoo — схема, которая для компаний превращает безобидный «конвертер PDF» в риск утечки запросов и доставки фишинга.
О кампании сообщает BleepingComputer со ссылкой на исследование специалиста Socket Джона Такнера. В апреле 2025 года он описал 57 расширений примерно с 6 млн пользователей; новая выборка добавила ещё 264 дополнения и около 8,7 млн установок. По оценке исследователя, за ними стоит несколько организованных групп, использующих одну и ту же механику: подменить поиск по умолчанию, отправить каждый запрос на промежуточный сервер и получить вознаграждение по идентификатору партнёра Yahoo или Bing.
Расширения маскировались под конвертеры PDF, инструменты для поиска инструкций, «безопасный поиск» и сервисы поиска с ИИ. Это не означает, что любое дополнение с подобным описанием вредоносно, но в данном случае вывеска не соответствовала содержанию. Пользователь ожидал вспомогательный инструмент, а получал посредника между адресной строкой браузера и поисковиком. Через него могли проходить названия внутренних продуктов, домены клиентов, технические ошибки, вакансии, сведения о поставщиках и другие запросы, которые сотрудники регулярно вбивают в поиск по работе.
Показательно, что для работы такой схемы иногда не нужен сложный код. В Chrome есть настройка chrome_settings_overrides, позволяющая расширению задать поисковик по умолчанию. Один из образцов, изученных Socket, состоял только из манифеста и иконок: без фоновых сценариев, сценариев на страницах и дополнительных разрешений. Для атакующего это дешёвый способ получить контроль над маршрутом запроса, а для пользователя — повод не оценивать безопасность расширения по количеству запрошенных разрешений.
Большинство дополнений не находилось через обычный поиск в Chrome Web Store: они были опубликованы в официальном каталоге, но скрыты из выдачи. Трафик им приводила реклама на сомнительных сайтах. Это важная деталь для команд, которые разрешают сотрудникам самостоятельно ставить расширения: блокировка только неизвестных магазинов не закрывает проблему. Формально установка идёт из доверенного источника, но путь к карточке дополнения начинается с рекламного объявления, а не с осознанного выбора разработчика или службы безопасности.
Крупнейший из недавно активных кластеров исследователь назвал Bing-Search: 37 расширений и 2,2 млн пользователей; их часто продвигали через объявления Bidbrain. Ещё одна волна, SecuryBrowse, включала 58 дополнений с 4,9 млн пользователей и эксплуатировала лексику безопасности — например, названия Fire Shield, Securify и WatchTower. Здесь особенно неприятна не изощрённость атаки, а точность упаковки: обещание защиты становится аргументом отключить скепсис и установить лишний код в рабочий браузер.
Доход от поисковых рефералов — лишь текущая полезная нагрузка. Сервер-посредник может менять конечный адрес без обновления расширения и без нового подтверждения от пользователя. Такнер привёл пример дополнения Predator Search: шесть одинаковых запросов ушли по четырём разным маршрутам — прямо в Yahoo с партнёрскими метками, на промежуточную посадочную страницу, через два дополнительных домена к результатам Yahoo и на страницу ошибки Cloudflare. Само расширение при этом не менялось: решение принимала инфраструктура прокси. Поэтому угон поиска Chrome нельзя списывать на назойливую рекламу: тот же канал способен отправить часть аудитории на поддельную страницу входа или на загрузку вредоносного файла.
Для ИТ-отделов инцидент выглядит как задача управления браузером, а не только антивируса. В корпоративной среде разумно проверить список установленных расширений, особенно у пользователей с доступом к админ-панелям, CRM, облачным консолям и репозиториям; удалить неизвестные дополнения из перечня Socket и запустить полную проверку конечных устройств. Следующий практичный шаг — ограничить установку расширений политиками браузера, разрешив только утверждённый список. Для небольших команд без централизованного управления минимумом станет регулярная ревизия расширений и правило: не ставить утилиты по рекламной ссылке, даже если она ведёт в официальный каталог.
На момент публикации исследования большая часть найденных расширений уже исчезла из Chrome Web Store, однако новые появляются постоянно. История с 13,4 млн установок показывает, почему угон поиска Chrome остаётся удобной моделью для злоумышленников: входной барьер низкий, монетизация понятна, а момент перехода от партнёрской накрутки к фишингу контролируется удалённо. Главный вопрос теперь не в том, удалят ли конкретные карточки, а в том, смогут ли магазины расширений и корпоративные политики быстрее распознавать одинаковую инфраструктуру и схемы продвижения.
