En estos momentos Google prepara una nueva barrera de seguridad para Chrome que bloqueará por defecto las extensiones instaladas cuando intenten secuestrar la página de Nueva Pestaña o cambiar el motor de búsqueda predeterminado.
La protección, detectada en una serie de cambios de código todavía en revisión dentro del proyecto Chromium, busca frenar una práctica que el malware lleva tiempo explotando en ordenadores domésticos sin gestión corporativa. El mecanismo se apoya en una etiqueta de función llamada kBlockDseNtpOverrideExtensionsOnUnmanagedDevices que activará por defecto un sistema de bloqueo integral en equipos Windows y macOS no gestionados. Anunoy Ghosh, ingeniero de Google, lo resume en uno de los comentarios adjuntos al cambio. Nos cuenta que en entornos de baja confianza como dispositivos de consumo sin gestión, las instalaciones forzadas y las recomendaciones de políticas empresariales se utilizan de forma abusiva para imponer secuestradores del motor de búsqueda o de la Nueva Pestaña.
Por qué las políticas de Chrome son una puerta de entrada para malware
Chrome permite a las empresas forzar la instalación de extensiones y controlar la configuración del navegador mediante políticas empresariales. En un equipo de trabajo conectado a un dominio o gestionado a través de un sistema MDM, esta función cumple su cometido sin sobresaltos. El problema aparece cuando un programa malicioso añade claves de política locales en nuestro ordenador personal sin que nosotros demos nuestro consentimiento.
Con esas claves inyectadas, el malware fuerza la instalación de una extensión que sustituye la Nueva Pestaña, modifica el buscador predeterminado o redirige las búsquedas hacia páginas sospechosas. El navegador Chrome, al leer una política local, puede llegar a interpretar que ha sido un administrador quien ha instalado esa extensión, lo que nos impide desactivarla o eliminarla. En muchos casos, nuestro navegador muestra además el mensaje Gestionado por tu organización, aunque nuestro equipo no pertenezca a ninguna empresa.
Google denomina a estos ordenadores como entornos de baja confianza, precisamente porque Chrome lee las políticas de forma local sin ninguna confirmación de una autoridad fiable, ya sea un dominio corporativo o un servicio de gestión de dispositivos móviles.
Así funcionará el bloqueo de extensiones
La protección propuesta interceptará cualquier intento de instalar, mediante políticas, una extensión que sobrescriba la Nueva Pestaña o el motor de búsqueda en un dispositivo sin gestión corporativa. Chrome cancelará la instalación y guardará el identificador de esa extensión en una lista de bloqueo que consultará antes de completar cualquier instalación futura.
Ese registro cumple una segunda función, ya que evita que el navegador vuelva a intentar descargar la misma extensión bloqueada en futuras comprobaciones de políticas, lo que reduce también las conexiones de red innecesarias generadas por el malware. Google añadirá además métricas de uso para medir con qué frecuencia aparecen estos secuestradores basados en políticas y cuántas veces logra bloquearlos el navegador. Este es un dato que el equipo de Chromium empleará para calibrar el alcance real del problema en los dispositivos Windows y macOS sin gestión corporativa antes de dar el paso definitivo hacia la versión estable de Chrome para todos los usuarios.
Qué pasará con las extensiones que ya tengo instaladas
El cambio no se limita a frenar nuevas infecciones. Si un dispositivo que antes estaba gestionado pierde ese estado de confianza pero conserva las claves de política en local, Chrome desinstalará automáticamente las extensiones que hayan alterado la Nueva Pestaña o el buscador.
Google corrige así otro truco habitual del malware que es convertir una extensión instalada manualmente por el usuario, en una extensión controlada por políticas, algo que a partir de ahora ya no será posible. Cualquier extensión añadida de forma manual seguirá bajo el control de quien la instaló, que podrá desactivarla o eliminarla cuando quiera.