Extensões De Navegador

Um conjunto massivo de 737 extensões gratuitas de VPN e proxy foi descoberto, principalmente direcionado a usuários de língua russa que buscam acessar serviços bloqueados. Essas extensões, publicadas em pelo menos 40 contas de desenvolvedores na Chrome Web Store, acumulam 75.486 instalações. Dentre elas, 274 imitam 66 marcas estabelecidas de VPN e privacidade, como Proton VPN e NordVPN. As extensões interceptam o tráfego do navegador, redirecionando-o através de uma infraestrutura de proxy controlada por um único provedor. A maioria das extensões configura o ‘chrome.proxy.settings’ para um servidor SOCKS5 fixo, permitindo que o ator da ameaça observe destinos do navegador e endereços IP de origem. Além disso, 221 extensões foram removidas da loja, mas 516 permanecem ativas. O ator da ameaça parece operar um negócio de VPN por assinatura na Rússia, utilizando um número de contribuinte de 12 dígitos. As extensões também apresentam sinais de fraude, como a promoção de servidores premium inexistentes e tentativas de enganar o processo de revisão da Chrome Web Store. Este incidente destaca a importância da vigilância e da verificação de extensões de navegador, especialmente para usuários que buscam serviços de privacidade.

Um estudo realizado por pesquisadores da KU Leuven analisou 85 das carteiras de criptomoedas mais populares que funcionam como extensões de navegador e descobriu que essas carteiras vazam informações suficientes para vincular e rastrear os usuários. As interações entre as carteiras e os sites podem conectar endereços separados de um mesmo usuário, permitindo que terceiros os sigam de site para site. Além disso, em sites que já possuem um nome ou e-mail, essas falhas podem associar uma identidade real a um perfil de criptomoeda supostamente anônimo. Os pesquisadores identificaram cinco fraquezas de privacidade, sendo a mais crítica a capacidade de vincular endereços separados. A pesquisa também revelou que 36 das 85 carteiras informam quais estão instaladas, mesmo sem conexão ativa. Embora algumas carteiras tenham corrigido problemas após a notificação, a maioria dos fabricantes não reconheceu as falhas como bugs. O estudo destaca a necessidade de melhorias significativas na segurança das carteiras, que atualmente funcionam como projetadas, mas expõem os usuários a riscos de privacidade.

O ModHeader, uma extensão popular para edição de cabeçalhos, foi removido das lojas do Chrome e Edge após a descoberta de um coletor de histórico de navegação embutido em sua versão oficial. A análise da empresa de segurança Stripe OLT revelou que, embora o coletor estivesse inativo devido a uma lista de permissões vazia, ele continha código que poderia coletar e enviar dados de navegação. A extensão, que conta com cerca de 1,6 milhão de instalações, ainda edita cabeçalhos HTTP como prometido, mas o código minificado inclui um sistema que, se ativado, poderia coletar até 1000 domínios distintos. A coleta de dados ocorreria uma vez por dia, enviando informações criptografadas para um servidor associado a um domínio sem relação com a Stanford. A extensão já havia sido alvo de reclamações por injetar anúncios em resultados de busca. A situação levanta preocupações sobre a segurança de extensões populares e a necessidade de vigilância constante sobre o que é instalado nos navegadores. Usuários são aconselhados a desinstalar a extensão e a rotacionar credenciais que possam ter sido armazenadas.

Recentemente, a cibersegurança enfrentou uma série de incidentes alarmantes que demonstram a vulnerabilidade da infraestrutura digital. Entre os problemas destacados, extensões de navegador enganosas foram identificadas, redirecionando buscas de usuários para intermediários de monetização, comprometendo a privacidade e segurança. Além disso, um ataque sofisticado no macOS, denominado ClickFix, utiliza um método sem arquivos para roubar informações, deixando poucos rastros. Os criminosos cibernéticos também abusaram de plataformas de chat, como a Claude, para disseminar malware que rouba credenciais. Outra preocupação é a fraude via WhatsApp, onde golpistas se passam por hotéis para obter dados de pagamento de viajantes. Em resposta a essas ameaças, a Amazon lançou o AWS Continuum, um agente de segurança baseado em IA para gerenciar vulnerabilidades de código. O cenário é preocupante, com um aumento significativo de ataques direcionados e técnicas de engenharia social, exigindo atenção redobrada das organizações para proteger seus dados e sistemas.

O relatório Verizon Data Breach Investigations Report (DBIR) de 2026 destaca a crescente preocupação com o uso não autorizado de inteligência artificial (IA) nas empresas, conhecido como Shadow AI. Este fenômeno, que representa um aumento de quatro vezes em relação ao ano anterior, ocorre quando funcionários utilizam ferramentas de IA, como ChatGPT, para tarefas cotidianas, muitas vezes sem a aprovação da organização. O relatório revela que 67% dos usuários acessam serviços de IA em dispositivos corporativos através de contas pessoais, expondo dados sensíveis a riscos significativos.

Um novo relatório da LayerX destaca a crescente ameaça representada por extensões de navegador de inteligência artificial (IA) nas redes corporativas. Embora a segurança em IA tenha se concentrado em aplicações SaaS e APIs, as extensões de navegador, que não são monitoradas por controles tradicionais, representam um risco significativo. O estudo revela que 99% dos usuários corporativos utilizam pelo menos uma extensão, e mais de 25% têm mais de dez instaladas. As extensões de IA são 60% mais propensas a ter vulnerabilidades e têm acesso elevado a dados sensíveis, como cookies e scripts remotos. Além disso, muitas dessas extensões mudam suas permissões ao longo do tempo, criando um alvo móvel que as listas de permissões tradicionais não conseguem acompanhar. A falta de visibilidade e governança sobre essas ferramentas torna-as uma superfície de ataque emergente e crítica. O relatório recomenda que as equipes de segurança realizem auditorias contínuas das extensões utilizadas, apliquem controles de segurança direcionados e analisem o comportamento das extensões para mitigar riscos. Com a rápida adoção dessas ferramentas, é essencial que as organizações implementem políticas rigorosas para proteger seus dados e usuários.

O LinkedIn enfrenta duas ações judiciais coletivas na Califórnia, acusando a plataforma de coletar dados de usuários sem consentimento através da varredura de extensões de navegadores. Segundo um relatório da associação Fairlinked e.V., a rede social teria utilizado um arquivo JavaScript para escanear mais de 6 mil extensões no Chrome, coletando informações sensíveis como resolução de tela, fuso horário e configurações de idioma. O LinkedIn, por sua vez, refutou as alegações, classificando-as como exageradas e distorcidas, e afirmou que a verificação de extensões é uma prática para proteger a privacidade dos usuários e garantir a estabilidade do site. As ações judiciais exigem que a plataforma pague indenizações e interrompa a coleta de dados. Uma das ações foca na possível violação de leis de privacidade, enquanto a outra questiona a conduta da empresa em relação ao escaneamento silencioso. O caso levanta preocupações sobre a privacidade dos usuários e a conformidade com legislações como a LGPD no Brasil.

Um relatório da associação Fairlinked e.V. acusa o LinkedIn de escanear navegadores de usuários para coletar dados sobre extensões instaladas, utilizando um script em JavaScript que verifica mais de 6 mil extensões do Google Chrome. A análise sugere que essa coleta de dados é feita sem o consentimento dos usuários e que as informações obtidas são vinculadas aos perfis dos mesmos, permitindo ao LinkedIn mapear quais empresas utilizam ferramentas concorrentes. Além disso, o relatório menciona que a plataforma teria enviado ameaças a usuários de ferramentas de terceiros com base nos dados coletados. O site Bleeping Computer confirmou a presença de um script que coleta informações detalhadas do navegador, como memória disponível e configurações de idioma. Em resposta, o LinkedIn negou as acusações, afirmando que as alegações são falsas e que a verificação de extensões é uma medida para proteger a privacidade dos usuários. Essa situação levanta preocupações sobre a privacidade e a segurança dos dados dos usuários da plataforma.

Um novo malware de roubo de informações, chamado Torg Grabber, está comprometendo dados sensíveis de 850 extensões de navegador, sendo mais de 700 delas voltadas para carteiras de criptomoedas. O acesso inicial é realizado através da técnica ClickFix, que sequestra a área de transferência e engana o usuário para executar um comando PowerShell malicioso. Pesquisadores da Gen Digital relatam que o Torg Grabber está em desenvolvimento ativo, com 334 amostras únicas compiladas em apenas três meses e novos servidores de comando e controle (C2) sendo registrados semanalmente. Além de carteiras de criptomoedas, o malware também rouba dados de 103 gerenciadores de senhas e ferramentas de autenticação de dois fatores. O Torg Grabber evoluiu rapidamente, abandonando métodos anteriores de exfiltração de dados em favor de uma conexão HTTPS, e implementou mecanismos de anti-análise e ofuscação para evitar detecções. O malware é capaz de roubar credenciais, cookies e dados de preenchimento automático, além de coletar informações de aplicativos populares como Discord, Telegram e Steam. A Gen Digital alerta que o Torg Grabber continua a se desenvolver, com uma base de operadores em expansão e um potencial impacto significativo na segurança de dados dos usuários.

Uma nova campanha de malvertising está utilizando uma extensão falsa de bloqueio de anúncios chamada NexShield, que causa falhas intencionais nos navegadores Chrome e Edge. Essa extensão, que foi removida da Chrome Web Store, é promovida como uma ferramenta de privacidade, mas na verdade cria uma condição de negação de serviço (DoS) ao gerar conexões em um loop infinito, esgotando os recursos de memória do navegador. Isso resulta em abas congeladas e uso elevado de CPU e RAM, levando o navegador a travar ou falhar. Após a falha, um pop-up enganoso sugere que o usuário escaneie o sistema para localizar problemas, levando-o a executar comandos maliciosos no prompt de comando do Windows. Esses comandos ativam um script PowerShell ofuscado que baixa e executa um malware chamado ModeloRAT, que permite acesso remoto ao sistema. A campanha, atribuída ao ator de ameaças ‘KongTuke’, destaca a evolução das táticas de ataque, visando ambientes corporativos. Para se proteger, os usuários devem evitar instalar extensões de fontes não confiáveis e realizar uma limpeza completa do sistema se a extensão NexShield foi instalada.

Especialistas em cibersegurança da Huntress alertaram sobre uma nova campanha maliciosa chamada KongTuke, que utiliza uma extensão falsa de bloqueio de anúncios no Google Chrome para roubar dados dos usuários. A extensão, denominada ‘NexShield – Advanced Web Guardian’, se apresenta como uma ferramenta de proteção contra anúncios e malwares, mas na verdade distribui um trojan de acesso remoto chamado ModeloRAT. Ao instalar a extensão, os usuários são enganados por um aviso de segurança falso que os leva a executar um comando no Windows, causando um travamento do navegador e permitindo que os hackers monitorem suas atividades. A extensão foi baixada mais de 5 mil vezes antes de ser desativada. O ataque é especialmente preocupante para ambientes corporativos, onde informações sensíveis podem ser comprometidas através da engenharia social. A campanha destaca a importância de se ter cautela ao instalar extensões e a necessidade de medidas de segurança robustas para proteger dados pessoais e corporativos.

O grupo hacker DarkSpectre, conhecido por suas campanhas maliciosas, lançou uma nova iniciativa chamada Zoom Stealer, que já afetou mais de 2,2 milhões de usuários dos navegadores Google Chrome, Microsoft Edge e Mozilla Firefox. De acordo com a Koi Security, os ataques, que têm origem na China, também incluem as campanhas ShadyPanda e GhostPoster, totalizando mais de 8,8 milhões de vítimas ao longo de sete anos.

As extensões comprometidas, como New Tab - Customized Dashboard e várias ferramentas de download de vídeo, foram projetadas para parecer inofensivas, mas na verdade, escondem códigos maliciosos que podem roubar dados sensíveis, como credenciais de acesso e informações de reuniões online. O ataque Zoom Stealer, em particular, foca no roubo de dados de plataformas de videoconferência, utilizando conexões WebSocket para coletar informações em tempo real.

Especialistas da Zenity Labs alertaram sobre uma nova extensão do Claude, assistente de IA da Anthropic, que opera no Google Chrome e pode expor dados pessoais dos usuários a riscos de segurança. A extensão, que foi lançada em versão beta, permite que a ferramenta interaja com outros sites sem supervisão humana, o que significa que, uma vez instalada, ela pode navegar e realizar ações em plataformas como Google Drive e Slack como se fosse o próprio usuário. Isso levanta preocupações sobre a segurança, pois a extensão permanece conectada continuamente, sem a possibilidade de ser desativada manualmente. Os pesquisadores observaram que a extensão pode acessar informações sensíveis, como tokens de login, e realizar ações prejudiciais, como excluir e-mails ou modificar arquivos, sem o conhecimento do usuário. Além disso, a proteção básica do Claude, que solicita permissão do usuário antes de realizar ações, falha em impedir essas atividades, levando a um cenário de ‘fadiga de aprovação’, onde os usuários clicam em ‘OK’ sem verificar as ações da IA. Essa situação destaca a necessidade urgente de uma revisão das práticas de segurança em relação a extensões de navegador e ferramentas de IA.

Um novo relatório da Koi Security revelou que o ator de ameaças por trás das campanhas de extensões de navegador maliciosas ShadyPanda e GhostPoster também está vinculado a uma terceira campanha chamada DarkSpectre, que impactou 2,2 milhões de usuários dos navegadores Google Chrome, Microsoft Edge e Mozilla Firefox. Ao longo de mais de sete anos, essas campanhas afetaram mais de 8,8 milhões de usuários. A ShadyPanda, que visa roubo de dados e fraudes de afiliados, foi identificada como responsável por 5,6 milhões de vítimas, enquanto a GhostPoster foca em usuários do Firefox, injetando códigos maliciosos em ferramentas aparentemente inofensivas. A campanha DarkSpectre, por sua vez, utiliza 18 extensões para coletar informações de reuniões corporativas, como URLs e senhas. As extensões maliciosas foram projetadas para parecer legítimas, acumulando confiança dos usuários antes de ativar comportamentos prejudiciais. A operação está ligada a um ator de ameaças chinês, com indícios de espionagem corporativa e coleta sistemática de inteligência de reuniões.

Uma extensão do Google Chrome chamada Urban VPN Proxy, que possui seis milhões de usuários e é marcada como ‘Destaque’ na loja, foi descoberta coletando silenciosamente dados de usuários que interagem com chatbots de inteligência artificial, como ChatGPT e Microsoft Copilot. Apesar de se apresentar como uma ferramenta de VPN para proteger a identidade online, a versão 5.5.0 da extensão, lançada em julho de 2025, habilitou a coleta de dados de forma padrão. A coleta é realizada por meio de scripts JavaScript que interceptam as conversas dos usuários, capturando prompts, respostas dos chatbots e metadados de sessão, enviando essas informações para servidores remotos. A política de privacidade da Urban VPN menciona que os dados são coletados para melhorar a navegação segura e para fins de marketing, mas não garante a anonimização completa das informações. Além disso, a empresa BIScience, que possui a Urban Cyber Security Inc., é acusada de coletar dados de navegação sob políticas de privacidade enganosas. A situação levanta preocupações sobre a confiança em extensões de navegador e a proteção de dados pessoais, especialmente em um contexto onde os usuários compartilham informações sensíveis com chatbots.

Em dezembro de 2025, pesquisadores de segurança revelaram uma campanha de cibercrime que comprometeu extensões populares dos navegadores Chrome e Edge. O grupo de ameaças conhecido como ShadyPanda passou sete anos publicando ou adquirindo extensões inofensivas, acumulando milhões de instalações antes de transformá-las em malware por meio de atualizações silenciosas. Aproximadamente 4,3 milhões de usuários foram afetados, com as extensões se tornando um framework de execução remota de código (RCE) que permitia o roubo de dados, como cookies de sessão e tokens de autenticação. Essa tática representa um ataque à cadeia de suprimentos de extensões de navegador, onde a confiança do usuário foi explorada. Para as equipes de segurança de SaaS, o incidente destaca a necessidade de uma abordagem integrada entre segurança de endpoints e identidade, já que as extensões podem comprometer contas corporativas sem disparar alarmes de segurança tradicionais. Medidas recomendadas incluem a implementação de listas de permissões de extensões, auditorias regulares e monitoramento de comportamentos suspeitos para mitigar riscos futuros.

Um ator de ameaças conhecido como ShadyPanda está vinculado a uma campanha de spyware que se estende por sete anos, envolvendo extensões de navegador que acumulam mais de 4,3 milhões de instalações. De acordo com um relatório da Koi Security, cinco dessas extensões, inicialmente legítimas, foram alteradas para executar código malicioso em 2024, resultando em 300 mil instalações. Essas extensões agora realizam execução remota de código, monitorando visitas a sites, exfiltrando histórico de navegação e coletando impressões digitais do navegador. Uma das extensões, Clean Master, foi verificada pelo Google, o que permitiu que os atacantes expandissem sua base de usuários e emitisse atualizações maliciosas sem levantar suspeitas. Além disso, outras extensões coletam informações detalhadas sobre URLs visitados e interações do usuário, enviando dados para servidores na China. O ataque evoluiu de injeções de código a controle ativo do navegador, redirecionando consultas de pesquisa e coletando cookies. A Koi Security alerta que o mecanismo de atualização automática, destinado a proteger os usuários, se tornou um vetor de ataque. Os usuários são aconselhados a remover essas extensões imediatamente e a alterar suas credenciais por precaução.

Pesquisadores de cibersegurança revelaram duas campanhas de malvertising que distribuem extensões de navegador falsas para roubar dados sensíveis. A primeira campanha, identificada pela Bitdefender, promove uma extensão chamada SocialMetrics Pro, que promete desbloquear o selo de verificação azul no Facebook e Instagram. No entanto, essa extensão coleta cookies de sessão do Facebook e os envia para um bot no Telegram dos atacantes. Além disso, variantes da extensão utilizam esses cookies para acessar a API do Facebook Graph, potencialmente extraindo informações adicionais das contas.

Pesquisas recentes revelaram que plugins populares de gerenciadores de senhas para navegadores estão vulneráveis a ataques de clickjacking, que podem ser usados para roubar credenciais de contas, códigos de autenticação de dois fatores (2FA) e detalhes de cartões de crédito. O pesquisador Marek Tóth apresentou essa técnica, chamada de clickjacking baseado em Document Object Model (DOM), durante a conferência DEF CON 33. O ataque ocorre quando um site malicioso manipula elementos da interface de usuário (UI) em uma página da web, tornando-os invisíveis e induzindo o usuário a clicar em áreas aparentemente inofensivas. Isso pode resultar no preenchimento automático de informações sensíveis, que são então enviadas para um servidor remoto. O estudo focou em 11 extensões de gerenciadores de senhas, incluindo 1Password e iCloud Passwords, todas suscetíveis a esse tipo de ataque. Apesar da divulgação responsável, seis fornecedores ainda não corrigiram as falhas. Enquanto isso, recomenda-se que os usuários desativem a função de preenchimento automático e utilizem o método de copiar e colar para proteger suas informações. Para usuários de navegadores baseados em Chromium, é aconselhável configurar o acesso do site para ‘ao clicar’ nas configurações da extensão, permitindo um controle manual sobre a funcionalidade de preenchimento automático.