Extensões maliciosas no Chrome voltaram a colocar usuários em risco ao transformar complementos aparentemente legítimos em ferramentas para roubo de credenciais, sessões, histórico de navegação e criptomoedas. A descoberta foi feita pela empresa de segurança Socket, que identificou 19 extensões maliciosas, sendo 18 destinadas ao Chrome e uma ao Microsoft Edge.
O caso chama atenção porque o ataque não depende necessariamente de convencer a vítima a instalar um complemento obviamente suspeito. Em parte da campanha, os criminosos compraram extensões legítimas que já possuíam usuários e posteriormente introduziram código malicioso por meio de atualizações. Em outros casos, as extensões foram criadas pelos próprios atacantes e inicialmente distribuídas com funcionalidades aparentemente normais.
O resultado é um exemplo preocupante de ataque à cadeia de suprimentos (supply chain attack) dentro das lojas oficiais de extensões. Um complemento confiável hoje pode receber uma atualização maliciosa amanhã, enquanto o usuário continua acreditando que está utilizando o mesmo software.
Como as extensões maliciosas no Chrome ganharam a confiança dos usuários
A Socket identificou duas estratégias principais. Quatorze extensões foram criadas pelos próprios criminosos, enquanto cinco eram complementos legítimos posteriormente adquiridos pelos responsáveis pela campanha. Depois de estabelecer uma base de usuários, os operadores introduziam a carga maliciosa nas atualizações.
Um dos exemplos mais relevantes é Enable Right Click & Copy — Smart Unlock + OCR. A extensão oferecia recursos para liberar funções de copiar e colar, ativar o botão direito e realizar OCR em imagens.
Antes da introdução do comportamento malicioso, o complemento havia sido desenvolvido pela organização PreppHint e posteriormente adquirido pelos criminosos. Quando a funcionalidade maliciosa apareceu, a extensão tinha aproximadamente 70 mil usuários no Chrome. Uma versão equivalente no Edge acrescentava cerca de 10 mil usuários, criando uma superfície potencial de aproximadamente 80 mil instalações, embora isso não signifique que todos tenham recebido a versão comprometida.
O perigo aumenta porque as extensões do Chrome possuem atualizações automáticas ativadas por padrão. Assim, uma extensão instalada anteriormente pode receber uma nova versão sem que o usuário procure deliberadamente por outro programa.
Imagem: Socket
A arquitetura técnica do malware e o vetor ClickFix
Por trás das extensões está uma arquitetura modular. Em vez de colocar toda a carga maliciosa diretamente no complemento, os criminosos utilizam um framework de carregamento capaz de receber novos módulos remotamente.
O componente em segundo plano estabelece uma comunicação persistente por WebSocket com servidores de comando e controle (C2). A Socket observou mecanismos para manter a conexão, receber instruções e baixar módulos adicionais. A comunicação dos módulos também utiliza criptografia AES-GCM, dificultando a inspeção superficial do tráfego.
Outro componente importante é a remoção de cabeçalhos Content Security Policy (CSP) das páginas acessadas pelo usuário. A CSP funciona como uma camada de proteção contra determinados tipos de injeção de código e ataques XSS. Ao removê-la, o malware cria condições mais favoráveis para inserir e executar JavaScript nas páginas visitadas.
As versões mais recentes também utilizaram técnicas de injeção dinâmica de JavaScript, criando elementos HTML ocultos e acionando manipuladores de eventos para executar os módulos recebidos do C2 no contexto da página.
É nesse cenário que entra o ClickFix. O malware pode apresentar uma falsa página ou janela informando que o navegador precisa ser atualizado. Em vez de conduzir a vítima para uma atualização legítima, a página instrui o usuário a copiar um comando para a área de transferência e executá-lo manualmente.
Essa abordagem explora engenharia social. O usuário acredita estar corrigindo um problema do Chrome, mas, na realidade, está seguindo instruções fornecidas pelo atacante. A Socket observou páginas falsas de atualização especialmente preparadas para diferentes sistemas operacionais.
O impacto no roubo de criptomoedas e credenciais
O principal objetivo observado pela Socket é o roubo de informações relacionadas a carteiras e ativos digitais, mas os recursos do malware são muito mais amplos.
Um dos módulos funciona como wallet drainer, identificando carteiras dos ecossistemas EVM, Solana e Tron. O código pode interferir em botões legítimos de Connect Wallet e Swap, substituindo seus manipuladores para conduzir a vítima a fluxos controlados pelos criminosos.
Também foram encontrados módulos capazes de simular páginas de Ledger e Trezor. Em uma situação de phishing, a vítima pode visualizar uma falsa tela de atualização ou recuperação e ser induzida a fornecer sua frase de recuperação de 12, 18 ou 24 palavras.
Essa informação é especialmente crítica: quem obtém a seed phrase pode, dependendo da carteira e da configuração, assumir controle dos ativos associados a ela.
O malware também mira contas e sessões de serviços como OKX, MEXC, Kraken, KuCoin, Coinbase, Binance, Bybit e MetaMask, coletando informações de sessão, cookies, tokens de autorização e dados de perfil.
A campanha não se limita ao universo cripto. Um capturador universal de formulários pode monitorar campos de texto, e-mail e senha em páginas acessadas pelo usuário. Há ainda módulos direcionados a Facebook e LinkedIn, além de um componente dedicado à exfiltração do histórico de navegação.
Lista completa das extensões maliciosas identificadas
A Socket identificou as seguintes 19 extensões e respectivos IDs. Usuários devem conferir imediatamente se algum desses identificadores aparece em seus navegadores:
Extensões compradas pelos criminosos
- Enable Right Click & Copy — Smart Unlock + OCR
ID:pkoccklolohdacbfooifnpebakpbeipc - RapidLens – Google Lens for Screen Search & Images
ID:fegckejpfnlmfgkfjpinlbgmeeijjkel - QuickLens – Search Screen with Google Lens
ID:kdenlnncndfnhkognokgfpabgkgehodd - Password Protect PDF
ID:jamminefolhgepgihbmcjjhgldbfcikp - Allow Copy – Select & Enable Right Click — Edge
ID:inmkjedjdhgpknjogbjomhnbgdccckkg
Extensões criadas pelos criminosos
- PixelCheck
ID:fcgdejjichpgfaaafflplhfijcnieopb - Creative Library – Ad Spy Tool
ID:cfpnjdbpojpcongfaefcamjbaolpelcd - Website Traffic Checker: MirrorSphere SEO Stats
ID:aapdalkmclfaahehnmicbglkohkldhne - Site Signal – Website Traffic & SEO Checker
ID:dkdadldmiefjldmegbjbnhhfddnkhlhm - SEO Pulse Pro – Website Traffic & SEO Analyzer
ID:fjmlhlkccegopebcllcmafahkmeejpph - Private Crypto News Reader
ID:iekoapohahgmogbagegmcgplbkikcgke - Blockfolio: Address Monitor
ID:ahpnnnjbnfbhoikhohglpohnoocjcoco - Crypto Rates & Fiat Converter
ID:oeacadlaclegkkkdehjmiifnjhcekclj - Crypto Alerter: Price Alarms & Volatility Warnings
ID:jmlgannjlbliikgcaieomgmcnfplglea - DeFi Pulse Tracker
ID:lhmcajhgadanidbopgaoobjlldegjmke - Crypto Price Badge: Quick Glance
ID:gfackggoapepdmnjnkblogdcjpgcjiak - Multi-Chain Explorer
ID:hfijkbdkpidafdbeebnnkhfccildbcle - LedgerLook: Wallet Checker
ID:pcngchfbfgejllcbhmeadjhiebebiome - Meta & Facebook Ad Library Spy — Save Ads, Finder, Downloader | FeedX-Ray
ID:aodkjdeghbjiaienipfjkbpcikkacbcp
A lista é especialmente importante para usuários que trabalham com criptomoedas, exchanges, carteiras Web3 ou contas corporativas, pois a extensão comprometida pode ter acesso privilegiado às páginas abertas no navegador.
O que fazer se você instalou uma dessas extensões
Se uma das extensões estiver instalada, a primeira medida é removê-la imediatamente. Não basta apenas desativá-la, principalmente se o computador continuar sendo utilizado para acessar contas importantes.
Depois da remoção, considere o navegador potencialmente comprometido e siga uma sequência de recuperação:
- Encerre as sessões ativas de exchanges, carteiras, redes sociais, e-mail e demais serviços importantes.
- Troque as senhas usando um dispositivo confiável e que não possua a extensão comprometida.
- Revogue tokens, sessões e autorizações sempre que o serviço oferecer essa possibilidade.
- Para criptomoedas, transfira os ativos para uma carteira nova e limpa se houver qualquer possibilidade de exposição da seed phrase ou de credenciais.
- Nunca informe sua frase de recuperação em uma página apresentada por uma extensão ou suposta atualização.
- Analise o computador em busca de outros sinais de comprometimento, principalmente se o ataque ClickFix chegou a induzir a execução de comandos.
- Em ambientes corporativos, preserve evidências e acione a equipe de segurança antes de simplesmente formatar ou descartar o equipamento.
A remoção da extensão também não deve ser interpretada como garantia de que o incidente terminou. Se senhas, tokens, cookies ou frases de recuperação foram capturados, as credenciais precisam ser consideradas comprometidas.
Conclusão: uma extensão confiável pode mudar de comportamento
O caso descoberto pela Socket mostra por que confiar exclusivamente no fato de uma extensão estar disponível em uma loja oficial não é suficiente. A campanha combinou engenharia social, atualização automática, aquisição de extensões legítimas, comunicação C2, injeção de JavaScript e ClickFix para transformar ferramentas aparentemente inocentes em uma plataforma de roubo de informações.
O problema é particularmente relevante para quem mantém carteiras de criptomoedas, contas bancárias, exchanges, sistemas administrativos ou credenciais corporativas abertas no navegador.
Para reduzir a superfície de ataque, mantenha apenas extensões realmente necessárias, revise periodicamente as permissões concedidas e desconfie de complementos que solicitam acesso excessivo. Também evite executar comandos apresentados por falsos avisos de atualização, mesmo quando a página parecer profissional.
Verifique agora as extensões instaladas no Chrome e no Edge, compare-as com a lista acima e compartilhe este alerta com outros usuários. A campanha demonstra que a segurança do navegador não depende apenas do próprio navegador, mas também de todo o ecossistema de extensões que recebe autorização para operar dentro dele.
