319 расширений Chrome перенаправляли поисковые запросы 13,4 млн пользователей
Исследователь Socket обнаружила кампанию расширений Chrome, перенаправлявших поисковые запросы через серверы операторов. Оценка охватывает установки за десять лет и не означает, что все эти люди пользуются расширениями сейчас.
В новом исследовании Такнер добавил 264 ранее не выявленных расширения, которые затронули ещё 8,7 млн пользователей. Их рекламировали как инструменты для поиска инструкций, работы с PDF, безопасного поиска и поиска с ИИ. После установки запросы пользователя сначала попадали на промежуточный сервер, а затем обычно перенаправлялись в Yahoo или Bing с партнёрскими метками. Эти метки позволяли операторам получать долю дохода от поисковой рекламы.
Для такой подмены расширению необязательно запрашивать доступ к страницам или запускать собственные скрипты. Исследователи разобрали расширение Safe Game Search, состоящее только из файла настроек и трёх иконок. В настройках оно указывало собственный адрес как поисковик по умолчанию. Chrome предупреждал пользователя о смене поисковой системы при установке, но, по оценке Socket, не объяснял ясно, через какой сервер пойдут запросы.
Промежуточный сервер видит поисковые фразы и может выбирать адрес назначения для каждого запроса. При проверке расширения Predator Search шесть одинаковых запросов дали четыре разных результата: переход в Yahoo, открытие другой страницы, более длинную цепочку перенаправлений до Yahoo и страницу ошибки Cloudflare. Само расширение при этом не менялось. Socket рассматривает переходы на фишинговые страницы или страницы с вредоносными загрузками как возможный риск, а не как подтверждённый результат этих проверок.
Как расширения Chrome находили пользователей
Большинство обнаруженных расширений не показывались в поиске магазина Chrome Web Store. Их страницы оставались доступны по прямой ссылке, которую пользователь мог получить после перехода по рекламе. Объявления появлялись в том числе во всплывающих окнах на сайтах и вели на страницы с предложением установить инструмент.
Следы этой схемы Socket обнаружила начиная с 2016 года. Компания связала с Intango LTD около 111 расширений и примерно 2,2 млн установок. Другая группа, SecuryBrowse, включала 58 расширений с названиями в духе защитных инструментов; их совокупная аудитория оценена примерно в 4,9 млн пользователей. Эти расширения нередко запрашивали дополнительные чувствительные разрешения.
Исследователи также выделили группу из 37 расширений, направлявших запросы в Bing. В июне 2026 года 15 издателей, выглядевших независимыми, обновили свои расширения в пределах четырёх дней; все они использовали метки одного партнёрского аккаунта Bing. Чтобы проследить связи между объявлениями, страницами установки и операторами, Socket сопоставляла записи магазина, политики конфиденциальности и рекламные данные. Исследователи отмечают, что домены могут оставаться активными и после удаления связанных с ними расширений.
Пользователям, которые хотят проверить браузер, следует просмотреть установленные расширения и поисковую систему по умолчанию. Незнакомые или ненужные инструменты поиска можно удалить. Отсутствие запроса на дополнительные разрешения само по себе не показывает, куда расширение отправляет поисковые фразы.
