Un informe de la firma de seguridad Socket ha detectado 319 extensiones de Chrome, con 13,4 millones de instalaciones reportadas, que desvían las búsquedas de los usuarios a través de servidores de seguimiento para generar ingresos publicitarios de Bing y Yahoo. La investigación, firmada por John Tuckner, amplía un hallazgo de abril de 2025 y advierte de que el riesgo para quien las tiene instaladas no se limita al fraude publicitario.
La nueva tanda suma 264 extensiones no señaladas hasta ahora, con 8,7 millones de usuarios, a las 57 que Tuckner ya había identificado en abril de 2025 y que entonces afectaban a 6 millones de personas. El listado completo, publicado al final del informe de Socket, incluye complementos que se presentan como conversores de PDF, buscadores de manuales de usuario, herramientas de búsqueda segura o asistentes de inteligencia artificial. En la mayoría de los casos, sin embargo, su única función real es redirigir la consulta a través de una cadena de sitios intermedios hasta hacerla aparecer en Bing o Yahoo.
Cómo secuestran el buscador sin apenas código
Tuckner explica que muchas de estas extensiones apenas necesitan programación para cumplir su objetivo. Les basta con el ajuste integrado chrome_settings_overrides, que permite reemplazar el motor de búsqueda predeterminado de vuestro navegador desde el propio archivo de manifiesto. Uno de los ejemplos analizados en el informe se reduce a un manifiesto y unos iconos, sin scripts en segundo plano, sin scripts de contenido y sin permisos adicionales solicitados. Esa arquitectura mínima es la misma que Tuckner ya documentó en abril de 2025, cuando identificó 57 extensiones equivalentes con 6 millones de usuarios, antes de que la lista se multiplicara hasta las 319 actuales.
«Estas extensiones fueron creadas por un puñado de operadores organizados que trabajan todos desde la misma idea: hacerse con el control silencioso del motor de búsqueda predeterminado del navegador, encauzar cada consulta a través de un servidor proxy sospechoso y cobrar pagos de referido de socio de Yahoo o Bing bajo un identificador de socio de sindicación», explica Tuckner. Este tipo de secuestro del navegador lleva años moviéndose en la frontera entre el programa potencialmente no deseado y el malware, una categoría sobre la que BleepingComputer ha informado en cientos de casos anteriores.
Por qué no aparecen al buscar en la Chrome Web Store
Aunque están alojadas en la tienda oficial de Google, Socket señala que estas extensiones figuran como no listadas y no aparecen entre los resultados cuando alguien busca directamente en la Chrome Web Store. Su vía de entrada son anuncios de dudosa reputación insertados en páginas web ajenas a la tienda, que enlazan directamente a la ficha de instalación.
Esa condición de extensión «no listada» significa que solo se puede acceder a ella mediante un enlace directo: no aparece si buscáis dentro de la propia tienda, aunque Google la siga alojando con normalidad en sus servidores. Esa opacidad explica en parte por qué la campaña ha podido crecer sin levantar sospechas, ya que quienes instalan estos complementos llegan convencidos de que van a resolver un problema puntual, como convertir un documento, encontrar un manual o activar un modo de búsqueda segura, y rara vez comprueban después qué motor de búsqueda ha quedado configurado por defecto en el navegador.
Bing-Search y SecuryBrowse, el gran peligro
La campaña no depende de un único operador, sino de varios clústeres que comparten infraestructura publicitaria pero cambian de disfraz según el público al que apuntan. El más numeroso en activo ahora mismo es Bing-Search, con 37 extensiones y 2,2 millones de usuarios, promocionado sobre todo mediante anuncios de la red Bidbrain. Junto a él, la oleada SecuryBrowse suma 58 extensiones y 4,9 millones de usuarios apoyándose en nombres que imitan herramientas de seguridad, como Fire Shield, Securify o WatchTower.
El mecanismo de fondo es idéntico en ambos casos: una vez instalada la extensión, cada búsqueda se enruta a través del servidor del operador antes de alcanzar Bing o Yahoo, generando la comisión de referido por el camino. Sumados, estos dos clústeres equivalen a 95 complementos y 7,1 millones de usuarios, más de la mitad de las 13,4 millones de instalaciones detectadas en total. El ejemplo que Socket desmontó línea a línea, reducido a un manifiesto y unos iconos, no pedía permisos llamativos en el momento de instalarse, un patrón que dificulta detectar el cambio de buscador antes de que ya esté hecho.
El proxy puede cambiar de destino sin tocar la extensión
De momento, la mayoría de estas extensiones se limita a generar ingresos por redirección de búsquedas, pero Tuckner advierte de que el destino final puede cambiar en cualquier momento sin necesidad de actualizar el complemento, incluyendo el salto a sitios de phishing o descargas maliciosas. «Los ingresos por referido de búsqueda son un abrevadero rentable mientras el operador del proxy puede esperar a que se acumulen datos y aparezcan objetivos antes de redirigir hacia resultados de búsqueda maliciosos o páginas de destino para phishing u otras descargas maliciosas», explica Tuckner.
El propio investigador comprobó este comportamiento con la extensión Predator Search: seis búsquedas idénticas terminaron en cuatro destinos distintos. «Seis búsquedas idénticas enviadas a través de su servidor proxy de búsqueda terminaron en cuatro lugares distintos: directamente a Yahoo con etiquetas de socio (hspart=sz&hsimp=yhs-026), una página de destino en searchlio.net, un salto a través de searchtosearch.com hacia un segundo dominio de resultados (mcftink.com) antes de llegar a Yahoo, y una página de error de Cloudflare sin respuesta», relató Tuckner. «La extensión nunca cambió; era el proxy quien elegía cada destino según llegaba la búsqueda», añadió.
Qué hacer si tenemos instalada alguna de estas extensiones
El primer paso es comprobar si tenéis instalada alguna extensión de la lista completa que Socket ha publicado en su informe y desinstalarla cuanto antes. Conviene después ejecutar un análisis completo con el antivirus del equipo para descartar que se haya colado algún componente adicional junto con el complemento. Socket recomienda además evitar instalar herramientas y complementos de navegador que no sean estrictamente necesarios cuando proceden de editores desconocidos, precisamente el perfil que comparten la mayoría de estas 319 extensiones.
También es buena idea comprobar, en los ajustes de Chrome, qué motor de búsqueda tenéis configurado por defecto y restaurarlo si aparece alguno desconocido. BleepingComputer se puso en contacto con Google para pedir una valoración sobre los hallazgos de Socket, pero no había recibido respuesta en el momento de la publicación. Socket apunta además que la mayoría de las extensiones señaladas ya habían sido retiradas de la Chrome Web Store cuando salió el informe, aunque los operadores siguen dando de alta variantes nuevas de forma constante.