Analistas da LayerX Security identificaram 17 extensões maliciosas para os navegadores Google Chrome, Mozilla Firefox e Microsoft Edge que, juntas, acumularam mais de 840.000 downloads.
A campanha GhostPoster utilizou nomes enganosos para dar aparência de legitimidade às extensões, como “Google Translate in Right Click”, “Youtube Download” e “Ads Block Ultimate”. Além disso, a pesquisa expôs como a ameaça se expandiu do Edge para o Firefox e, em seguida, para o Chrome, adaptando suas técnicas para atender aos requisitos de segurança de cada plataforma.
Extensões pro Chrome podem espionar conversas com chatbots de IA
Bruno Cardoso02/01/2026 • 13:34Esses complementos conseguiram burlar as revisões de segurança das principais lojas de aplicativos de navegadores, permanecendo ativas por até cinco anos antes de serem descobertas.
A lista completa inclui os seguintes nomes (alguns dos quais possuem versões legítimas e seguras):
- AdBlocker
- Ads Block Ultimate
- Amazon Price History
- Color Enhancer
- Convert Everything
- Cool Cursor
- Floating Player – PiP Mode
- Full Page Screenshot
- Google Translate in Right Click
- Instagram Downloader
- One Key Translate
- Page Screenshot Clipper
- RSS Feed
- Save Image to Pinterest on Right Click
- Translate Selected Text with Google
- Translate Selected Text with Right Click
- Youtube Download
Essas extensões usam esteganografia para ocultar código malicioso dentro de arquivos de imagem PNG, uma técnica que esconde dados à vista de todos. Assim, uma vez instaladas, as extensões estabelecem comunicação com servidores controlados pelos invasores para baixar scripts maliciosos adicionais.
Em seguida, são executadas diversas ações prejudiciais, incluindo sequestro de links de afiliados, rastreamento do comportamento do usuário, manipulação de páginas HTTP e roubo de credenciais e dados pessoais.
Segundo o Malwarebytes, a Mozilla e a Microsoft removeram os complementos identificados das suas lojas, e o Google confirmou a remoção deles da Chrome Web Store. No entanto, é importante observar que as extensões já instaladas permanecem ativas até que os usuários as desinstalem manualmente.
via Tecnoblog