Niepozorne rozszerzenia Chrome przejęły wyszukiwarki milionów użytkowników
Spis treści
Nie każde rozszerzenie Chrome, które zmienia domyślną wyszukiwarkę, jest niewinnym dodatkiem. Analitycy Socket opisali 319 wtyczek, które przez lata kierowały zapytania użytkowników przez serwery operatorów. Łącznie mogły dotrzeć do około 13,4 mln osób.
Mechanizm jest szczególnie podstępny, bo nie musi wyglądać jak klasyczny malware. Rozszerzenia reklamowane jako narzędzia do wyszukiwania instrukcji, konwertery PDF, dodatki „bezpiecznego wyszukiwania” czy funkcje AI trafiały do użytkowników między innymi przez reklamy wyskakujące na mniejszych stronach. Wiele z nich było niepublicznych w Chrome Web Store, więc nie dało się ich łatwo znaleźć zwykłym wyszukiwaniem.
Wystarczył wpis w konfiguracji rozszerzenia
Chrome oficjalnie pozwala rozszerzeniom nadpisać ustawienia przeglądarki, w tym dostawcę wyszukiwania. Służy do tego sekcja chrome_settings_overrides.search_provider w manifeście. Dokumentacja Google przewiduje w niej między innymi adres wyszukiwarki i oznaczenie, że ma stać się domyślna. To użyteczna funkcja, ale w rękach dodatku bez realnej wartości może zamienić się w prosty kanał przejęcia ruchu.
Socket pokazał przykład rozszerzenia, którego manifest wraz z trzema ikonami wystarczał do zmiany dostawcy. Nie było w nim kodu działającego w tle, skryptów wstrzykiwanych do stron ani dodatkowych uprawnień. Brak żądania dostępu do kart nie oznacza więc automatycznie, że dodatek nie wpływa na prywatność.
Wyszukiwanie przechodziło przez cudzy serwer
Według Socket zapytanie nie zawsze trafiało bezpośrednio do Yahoo lub Binga. Najpierw przechodziło przez serwer pośredni kontrolowany przez operatora rozszerzenia. Taki serwer może rejestrować pełną historię wyszukiwania, często powiązaną z unikalnym identyfikatorem, a następnie przekazywać ruch dalej z parametrami partnerskimi generującymi przychód reklamowy.
W teście z rozszerzeniem Predator Search sześć identycznych zapytań zakończyło się w czterech różnych miejscach. Część trafiła do Yahoo, część przechodziła przez dodatkowe domeny, a jedna próba zakończyła się błędem Cloudflare. To pokazuje, że miejsce docelowe mogło być wybierane po stronie serwera dla każdego żądania.
Ważne zastrzeżenie: Socket opisuje możliwość przekierowania wybranych zapytań do fałszywej strony logowania, phishingu albo pobierania złośliwego pliku, ale nie przedstawia tego jako dowodu, że każda z badanych wtyczek już to robiła. Potwierdzonym problemem jest przejęcie ścieżki wyszukiwania i gromadzenie zapytań.
Jak sprawdzić Chrome i usunąć podejrzany dodatek?
Otwórz w pasku adresu chrome://extensions i przejrzyj listę zainstalowanych rozszerzeń. Usuń te, których nie rozpoznajesz, zwłaszcza dodatki obiecujące wyszukiwanie instrukcji, „bezpieczną” wyszukiwarkę albo konwersję PDF, jeśli nie pamiętasz, skąd pochodzą. Następnie wejdź w Ustawienia → Wyszukiwarka i wybierz właściwego dostawcę.
Google wskazuje również, że po usunięciu rozszerzenia zmienione ustawienia powinny wrócić do poprzedniego stanu. Jeśli Chrome sygnalizuje, że dodatek kontroluje ustawienie, to cenna wskazówka, by sprawdzić jego nazwę i zasadność działania. Wcześniej opisywaliśmy na PC Arena także rozwój Chrome o funkcje korzystające z danych Gmaila, ale tamten mechanizm dotyczy autouzupełniania formularzy, a nie przejmowania wyszukiwań.
Źródła
Autor Artykułu
Marek Kasperski
Marek Kasperski - Marek Kasperski to programista–entuzjasta, który po godzinach zanurza się w świecie nowych technologii i sprzętu komputerowego. Na pcarena.pl łączy wiedzę developerską z pasją do PC, pokazując czytelnikom, jak wybrać odpowiednie podzespoły i zoptymalizować sprzęt pod własne projekty. Pisze z perspektywy praktyka, dzięki czemu jego artykuły są jednocześnie techniczne, przystępne i pełne realnych doświadczeń.