Chrome e Edge tiveram extensões perigosas que espionaram 4,3 milhões de usuários

Como a operação conseguiu driblar sistemas de segurança

Leia mais: Como limpar a memória cache no Google Chrome e melhorar o desempenho do navegador

A campanha explorou uma falha estrutural no processo de revisão das lojas do Chrome e do Edge. Enquanto novas extensões passam por análises rigorosas antes de serem publicadas, as atualizações posteriores nem sempre passam pelo mesmo nível de verificação. Assim, uma extensão legítima e aprovada pode, em determinado momento, receber códigos maliciosos sem ser detectada imediatamente.

Extensões legítimas com atualizações perigosas

As duas campanhas principais identificadas envolveram ferramentas populares de produtividade.

Clean Master: vigilância completa via backdoor

A extensão Clean Master, da Starlab Technology, alcançou cerca de 300 mil usuários e recebeu destaque nas lojas. Em 2024, uma atualização ativou um backdoor capaz de:

• registrar URLs acessadas;
• coletar referenciadores HTTP;
• armazenar impressões digitais do dispositivo;
• criar perfis de atividade com base em horários de acesso;
• injetar scripts até mesmo em conexões HTTPS.

Mecanismo para evitar detecção

O código malicioso podia desativar automaticamente seu comportamento ao detectar a abertura de ferramentas de desenvolvedor do navegador, dificultando análises de especialistas.

WeTab: coleta de dados em tempo real

A segunda campanha envolveu a extensão WeTab, instalada mais de 3 milhões de vezes. Disfarçada como uma ferramenta de produtividade, ela enviava informações em tempo real para pelo menos 17 domínios diferentes, incluindo servidores da Baidu e infraestruturas da própria WeTab.

Informações capturadas pela WeTab

• pesquisas realizadas;
• cookies do navegador;
• histórico de cliques;
• páginas visitadas;
• interações com abas.

A extensão operava de forma silenciosa e constante, transmitindo dados de forma automatizada para múltiplos servidores.

Por que essa campanha foi tão eficiente?

A estratégia adotada pelo grupo ShadyPanda consistiu em construir credibilidade ao longo do tempo. Publicaram ferramentas úteis, acumularam milhões de downloads e, quando já não atraíam atenção das equipes de segurança, aplicaram atualizações que introduziam o spyware.

Falso senso de segurança

Muitos usuários acreditam que extensões com selos de destaque ou milhares de avaliações são automaticamente seguras, o que facilitou a disseminação do ataque. Além disso, a campanha não ativava comportamentos maliciosos imediatamente. Em alguns casos, havia um período de dormência, o que dificultava a correlação entre a instalação e a captura de dados.

Resposta das plataformas após a denúncia

Após a divulgação do relatório pela Koi, as plataformas reagiram removendo as extensões consideradas maliciosas. O Google afirmou que as ferramentas não estavam mais disponíveis na Chrome Web Store. A Microsoft também confirmou a remoção de todas as extensões identificadas como nocivas na loja do Edge.

Extensões ainda ativas nos navegadores infectados

Apesar da exclusão das lojas, as extensões permanecem ativas nos dispositivos onde já haviam sido instaladas. Isso significa que milhões de usuários continuam vulneráveis até removerem manualmente as ferramentas comprometidas.

Ligação com fraudes anteriores

A investigação também encontrou conexões entre o grupo ShadyPanda e outras campanhas já encerradas. Anos antes, o grupo teria utilizado extensões de papéis de parede para aplicar fraudes de afiliados em plataformas como Amazon e eBay. Outras ferramentas operavam como sequestradores de navegador, alterando páginas de busca e redirecionando usuários para sites fraudulentos.

Padrão de operação

• lançamento de extensões simples e inofensivas;
• ganho rápido de popularidade;
• introdução tardia de scripts maliciosos;
• coleta e venda de dados ou direcionamento de tráfego para monetização.

Esse padrão revela uma operação sofisticada, construída para permanecer ativa por longos períodos sem levantar suspeitas.

Medidas imediatas

Revisar extensões instaladas

Usuários devem acessar a lista de extensões do navegador e remover qualquer ferramenta desconhecida, suspeita ou que não utilize há muito tempo.

Atualizar o navegador

Manter Chrome e Edge atualizados garante correções de segurança mais recentes.

Evitar extensões pouco transparentes

Ferramentas de procedência duvidosa, sem site oficial, sem política de privacidade ou com comportamento invasivo devem ser evitadas.

FAQ – Perguntas frequentes

1. Quais extensões foram identificadas como maliciosas?
As campanhas mais relevantes envolveram a Clean Master e a WeTab, além de outras ferramentas de produtividade que ainda estavam ativas na loja do Edge até dezembro de 2025.

2. Como as extensões espionavam os usuários?
Elas enviavam histórico de navegação, cliques, cookies e outras informações sensíveis para servidores associados ao grupo ShadyPanda, utilizando backdoors e scripts injetados.

3. Os navegadores removeram automaticamente as extensões?
Não. Elas foram excluídas das lojas, mas continuam funcionando nos navegadores de quem já as instalou. A remoção deve ser manual.

4. O ataque ainda está em andamento?
A operação original foi interrompida com a denúncia, mas usuários infectados permanecem vulneráveis até excluir completamente as extensões comprometidas.

5. Como evitar novas infecções?
Manter o navegador atualizado, revisar extensões instaladas e evitar ferramentas sem transparência são medidas essenciais para reduzir riscos.

Considerações finais

A descoberta da campanha executada pelo grupo ShadyPanda expõe fragilidades nos sistemas de revisão de extensões das principais plataformas de navegação. A confiança cega em ferramentas populares abre caminho para operações silenciosas e de longo prazo, como a que afetou 4,3 milhões de usuários ao redor do mundo. O caso reforça a necessidade de mais transparência, processos de auditoria contínuos e atenção redobrada por parte dos usuários.

Não perca nenhuma oportunidade de crédito e pagamento: acesse agora nossas últimas notícias no Seu Crédito Digital.