Un equipo de seguridad de la firma Socket identificó 319 extensiones para el navegador Chrome que, instaladas en millones de equipos, alteran el funcionamiento de la búsqueda para capturar consultas a través de un servidor proxy sospechoso y cobrar comisiones por referencias de Yahoo y Bing mediante un identificador de sindicación.

El hallazgo forma parte de un informe presentado por John Tuckner, experto de Socket, que amplía un estudio anterior publicado en abril de 2025. En esa entrega inicial se detallaba el descubrimiento de 264 nuevas extensiones maliciosas, que afectaban a 8,7 millones de usuarios más a nivel global.

Según el reporte, estas extensiones serían obra de un grupo de “operadores organizados” cuyo objetivo es apoderarse del motor de búsqueda predeterminado del navegador y redirigir las consultas de los usuarios a través de un proxy sospechoso. De ese modo, buscan monetizar las búsquedas mediante referencias de socios de Yahoo y Bing, utilizando un identificador de sindicación asociado.

Tuckner explicó que estas herramientas se esconden a simple vista en la Chrome Web Store, con nombres poco llamativos como Safe Web Search o PDF Manual Finder. Su difusión se facilita mediante publicidad de pago, incluyendo plataformas como Google Ads o Bidbrain, entre otras.

Una vez instalada, la extensión registra cada búsqueda realizada por el usuario al hacer pasar las consultas por el servicio del operador malicioso, que suele vincularse a un identificador único del usuario. Con las consultas capturadas, el atacante decide a dónde dirigir la búsqueda mediante el proxy, operando de forma análoga a un sistema de distribución de tráfico.

En los casos analizados, el proxy devuelve resultados reales en Yahoo y Bing; no obstante, los investigadores advirtieron que los ciberdelincuentes podrían adaptar la cadena de búsqueda o la ubicación geográfica del usuario para presentar páginas de phishing, resultados falsos o cargas de malware.

El objetivo final de estos actores es generar ingresos a través de las referencias de búsqueda. Al encaminar las consultas por su proxy antes de llegar a Yahoo o Bing, obtienen ingresos mediante los programas de sindicación de estos motores. Los expertos señalan que las ganancias por referencias pueden ser muy lucrativas, y que el operador del proxy podría acumular datos y esperar el momento oportuno para redirigir hacia resultados maliciosos o páginas de destino para phishing u otros tipos de descargas.