یک کمپین گسترده برای سرقت جستجو (Search Hijacking) که شامل ۳۱۹ افزونه کروم (Chrome extensions) با مجموع ۱۳.۴ میلیون نصب گزارش شده است، موتور جستجوی پیش‌فرض کاربران را از طریق سرورهای ردیاب (Tracking servers) تغییر مسیر می‌داد. هدف اصلی این عملیات، تولید درآمد تبلیغاتی از طریق موتورهای جستجوی Bing و Yahoo بود.
گزارش‌های جدید نشان می‌دهد که این افزونه‌ها توسط گروه‌های سازمان‌یافته‌ای ساخته شده‌اند که از یک استراتژی واحد پیروی می‌کنند: کنترل بی‌صدای موتور جستجوی پیش‌فرض مرورگر، هدایت تمامی پرس‌وجوها (Queries) از طریق یک پروکسی (Proxy) مشکوک و دریافت مبالغ مربوط به همکاری (Referral payments) از موتورهای جستجو تحت یک شناسه شریک تجاری.
نحوه عملکرد و ریسک‌های امنیتی
این افزونه‌ها که با پوشش ابزارهای تبدیل PDF، جستجوگرهای امن یا ابزارهای هوش مصنوعی (AI) فعالیت می‌کنند، از قابلیت داخلی کروم به نام chrome_settings_overrides برای جایگزینی موتور جستجو استفاده می‌کنند. نکته نگران‌کننده این است که بسیاری از این افزونه‌ها برای انجام این کار به کدنویسی پیچیده‌ای نیاز ندارند و تنها با یک فایل Manifest ساده و آیکون‌ها عمل می‌کنند.
اگرچه تمرکز فعلی این عاملان تهدید (Threat actors) بر کسب درآمد از طریق تبلیغات است، اما کارشناسان هشدار می‌دهند که این وضعیت می‌تواند به سرعت تغییر کند. این افزونه‌ها می‌توانند به عنوان یک “چاه آب” (Watering hole) عمل کرده و کاربران را در هر لحظه به سمت سایت‌های فیشینگ (Phishing) یا دانلودهای مخرب (Malicious downloads) هدایت کنند.
نمونه‌های شناسایی شده
- Bing-Search: خوشه‌ای شامل ۳۷ افزونه با ۲.۲ میلیون کاربر که اغلب از طریق تبلیغات Bidbrain ترویج می‌شدند.
- SecuryBrowse: موجی شامل ۵۸ افزونه با ۴.۹ میلیون کاربر که با نام‌هایی مانند Fire Shield، Securify و WatchTower فعالیت می‌کردند.
- Predator Search: افزونه‌ای که جستجوها را به مقاصد متغیر و مشکوک هدایت می‌کرد.
اگرچه بسیاری از این افزونه‌ها از Chrome Web Store حذف شده‌اند، اما نمونه‌های جدید به طور مداوم جایگزین آن‌ها می‌شوند. توصیه می‌شود کاربران افزونه‌های مشکوک را حذف کرده، سیستم خود را با آنتی‌ویروس (AV) اسکن کنند و از نصب ابزارهای ناشناس خودداری نمایند.
