تحقیقات اخیر بر روی افزونه‌های مرورگر، منجر به شناسایی ۳۱۹ افزونه مشکوک شده است که با حدود ۱۳.۴ میلیون کاربر گزارش شده مرتبط هستند. این یافته‌ها نشان‌دهنده یک اکوسیستم گسترده برای ربایش جستجو (Search-hijacking) است که از سال ۲۰۱۶ در حال فعالیت بوده است.
مکانیسم فنی و دور زدن بررسی‌های امنیتی
این افزونه‌ها که تحت عناوینی مانند ابزارهای تبدیل PDF، جستجوی امن یا ابزارهای جستجوی مبتنی بر AI تبلیغ می‌شدند، از یک قابلیت خاص در پیکربندی کروم به نام chrome_settings_overrides.search_provider استفاده می‌کنند. نکته کلیدی این است که یک افزونه می‌تواند از طریق فایل Manifest خود، موتور جستجوی پیش‌فرض را تغییر دهد، بدون اینکه نیاز به درخواست دسترسی‌های حساس (Sensitive Permissions)، اجرای Service Worker در پس‌زمینه، تزریق Content Scripts یا حتی ارائه یک رابط کاربری کاربردی داشته باشد.
به عنوان مثال، افزونه‌ای به نام Safe Game Search تنها شامل یک فایل Manifest و سه آیکون بود. در این مورد، عملیات رهگیری جستجو توسط پیکربندی مرورگر انجام می‌شد و نه توسط منطق اجرایی افزونه. این موضوع یک نقطه کور (Blind Spot) در شناسایی ایجاد می‌کند؛ زیرا بررسی دسترسی‌های افزونه به تنهایی نمی‌تواند مشخص کند که آیا یک افزونه فعالیت‌های مرورگر کاربر را افشا می‌کند یا خیر.
نحوه عملکرد و کسب درآمد
به جای ارسال مستقیم کوئری‌ها به موتورهای جستجوی معتبر، این افزونه‌ها یک واسطه (Intermediary) معرفی می‌کنند که می‌تواند پرس‌وجوهای کاربران را رصد کرده و آن‌ها را با شناسه‌های کاربری یا اطلاعات شبکه مرتبط کند. عوامل تهدید (Threat Actors) از این ترافیک از طریق قراردادهای توزیع جستجو کسب درآمد می‌کنند و پارامترهای خاصی را به نتایج Yahoo یا Bing اضافه می‌کنند.
این ساختار Proxy به عوامل تهدید اجازه می‌دهد تا مقصد هر جستجو را کنترل کنند. در بررسی افزونه Predator Search که ۵۰ هزار کاربر داشت، مشاهده شد که ۶ جستجوی یکسان، چهار نتیجه متفاوت (شامل نتایج Yahoo، دامنه‌های واسط و صفحات خطای Cloudflare) را تولید کردند. اگرچه این رفتار لزوماً به معنای تحویل بدافزار نیست، اما پتانسیل ایجاد صفحات فیشینگ، نتایج دستکاری شده و دانلودهای مخرب را فراهم می‌کند.
توزیع و شناسایی
بسیاری از این افزونه‌ها در Chrome Web Store لیست نشده بودند و توزیع آن‌ها عمدتاً از طریق لینک‌های مستقیم و کمپین‌های تبلیغاتی در Google Ads و Bidbrain صورت می‌گرفت. محققان توانستند حدود ۱۱۱ افزونه (با ۲.۲ میلیون نصب) را به Intango LTD و ۵۸ افزونه (با ۴.۹ میلیون کاربر) را به کلاستر SecuryBrowse مرتبط کنند.
توصیه‌های امنیتی برای سازمان‌ها و کاربران
- برای مدیران SOC و امنیت: بررسی افزونه‌های نصب شده در کنار موتورهای جستجوی پیش‌فرض و زنجیره‌های تغییر مسیر (Redirect Chains) ضروری است. سازمان‌ها باید نصب افزونه‌های غیرمجاز را محدود کرده و هرگونه تغییر توضیح‌ناپذیر در تنظیمات جستجو را بررسی کنند.
- برای کاربران: افزونه‌های ناشناخته را حذف کرده و موتور جستجوی پیکربندی شده خود را تایید کنید. به خاطر داشته باشید که داشتن یک Manifest حداقلی به معنای نبود ریسک امنیتی نیست.
