پژوهشگران امنیتی از شناسایی ۳۱۹ افزونه مشکوک گوگل کروم خبر داده‌اند که مجموع آمار نصب آن‌ها به حدود ۱۳٫۴ میلیون مورد می‌رسد. این افزونه‌ها با تغییر موتور جست‌وجوی پیش‌فرض مرورگر، درخواست‌های کاربران را ابتدا به سرورهای واسطه منتقل می‌کردند و سپس نتایج موتورهای جست‌وجویی مانند بینگ و یاهو را نمایش می‌دادند.
براساس گزارش جدید شرکت امنیتی Socket که ۲۹ اکتبر ۲۰۲۶ منتشر شده و وب‌سایت BleepingComputer نیز آن را پوشش داده است، هدف اصلی این فعالیت کسب درآمد از هدایت جست‌وجوها و پرداخت‌های ارجاعی بوده است. بااین‌حال، محققان هشدار می‌دهند که کنترل مسیر جست‌وجوها می‌تواند خطرات امنیتی جدی‌تری نیز ایجاد کند.
کشف ۳۱۹ افزونه مشکوک کروم با میلیون‌ها نصب
جان تاکنر، پژوهشگر امنیتی شرکت Socket، در تحقیقات جدید خود شبکه گسترده‌ای از افزونه‌های مرورگر را شناسایی کرده است که ظاهراً کاربردهای مفیدی دارند، اما در عمل تنظیمات جست‌وجوی کاربران را تغییر می‌دهند.
این گزارش ادامه تحقیق آوریل ۲۰۲۵ است که در آن ۵۷ افزونه با حدود ۶ میلیون کاربر شناسایی شده بودند. پژوهش جدید ۲۶۴ افزونه دیگر را با مجموع ۸٫۷ میلیون نصب گزارش کرده و تعداد افزونه‌های شناسایی‌شده را به ۳۱۹ مورد رسانده است.
البته رقم ۱۳٫۴ میلیون به مجموع آمار نصب گزارش‌شده در طول زمان اشاره دارد و لزوماً به معنای آلوده‌بودن همین تعداد کاربر فعال در حال حاضر نیست.
افزونه‌های مخرب چگونه جست‌وجوی کاربران را تغییر می‌دهند؟
روش کار این افزونه‌ها برخلاف بسیاری از بدافزارهای پیچیده، نسبتاً ساده است.
پس از نصب، افزونه می‌تواند موتور جست‌وجوی پیش‌فرض کروم را تغییر دهد. در نتیجه، زمانی که کاربر عبارتی را در نوار آدرس مرورگر جست‌وجو می‌کند، درخواست او به‌جای ارسال مستقیم به موتور جست‌وجوی موردنظر، ابتدا از یک سرور واسطه متعلق به گردانندگان افزونه عبور می‌کند.
این سرور سپس کاربر را به موتورهایی مانند Yahoo یا Bing هدایت می‌کند و با استفاده از شناسه‌های همکاری تبلیغاتی، امکان کسب درآمد از ترافیک ارجاعی را فراهم می‌سازد.
کاربر ممکن است در نهایت نتایج جست‌وجوی عادی را مشاهده کند و متوجه تغییر مسیر درخواست خود نشود.
بعضی افزونه‌ها حتی به کدنویسی پیچیده نیاز ندارند
یکی از نکات مهم تحقیقات Socket، استفاده از قابلیت داخلی کروم به نام chrome_settings_overrides است.
این قابلیت به افزونه‌ها اجازه می‌دهد تنظیمات مشخصی از مرورگر، از جمله ارائه‌دهنده جست‌وجوی پیش‌فرض، را تغییر دهند.
پژوهشگران نمونه‌ای را بررسی کرده‌اند که تنها از فایل تنظیمات افزونه و آیکون‌ها تشکیل شده بود و هیچ اسکریپت پس‌زمینه یا مجوز حساس جداگانه‌ای درخواست نمی‌کرد.
این موضوع نشان می‌دهد نبود درخواست مجوزهای حساس، به‌تنهایی نشانه ایمن‌بودن یک افزونه نیست.
هرچند کروم هنگام نصب افزونه‌های تغییر‌دهنده موتور جست‌وجو هشدار مرتبطی نمایش می‌دهد، ممکن است کاربر از مسیر واقعی انتقال درخواست‌های خود اطلاع نداشته باشد.
افزونه‌های جعلی با تبلیغات فریبنده منتشر می‌شوند
براساس یافته‌های محققان، بسیاری از افزونه‌های شناسایی‌شده خود را به‌عنوان ابزارهای کاربردی معرفی می‌کردند.
از جمله این ابزارها می‌توان به مبدل‌های PDF، ابزارهای جست‌وجوی ایمن، برنامه‌های یافتن دفترچه راهنمای محصولات و ابزارهای جست‌وجوی مبتنی بر هوش مصنوعی اشاره کرد.
بسیاری از آن‌ها در فروشگاه رسمی افزونه‌های کروم حضور داشتند، اما به‌صورت فهرست‌نشده منتشر شده بودند؛ به این معنی که در نتایج جست‌وجوی معمول Chrome Web Store ظاهر نمی‌شدند.
در عوض، گردانندگان این افزونه‌ها از تبلیغات اینترنتی برای هدایت کاربران به صفحه نصب استفاده می‌کردند.
به این ترتیب، حضور یک افزونه در فروشگاه رسمی گوگل الزاماً به معنای قابل‌اعتمادبودن عملکرد آن نیست.
دو مجموعه بزرگ از افزونه‌های مشکوک شناسایی شدند
در گزارش Socket چند مجموعه از افزونه‌ها با زیرساخت و الگوی فعالیت مشابه معرفی شده‌اند.
یکی از بزرگ‌ترین مجموعه‌ها با نام SecuryBrowse شامل ۵۸ افزونه و حدود ۴٫۹ میلیون نصب گزارش‌شده است.
افزونه‌هایی با نام‌های امنیتی مانند Fire Shield، Securify و WatchTower در این مجموعه قرار می‌گیرند.
مجموعه دیگر Bing-Search نام دارد که شامل ۳۷ افزونه با حدود ۲٫۲ میلیون نصب است. این افزونه‌ها در مواردی از طریق تبلیغات شبکه Bidbrain تبلیغ شده‌اند.
محققان معتقدند بخش قابل‌توجهی از این فعالیت‌ها توسط گروه محدودی از گردانندگان سازمان‌یافته انجام شده است.
خطر اصلی فقط کسب درآمد تبلیغاتی نیست
اگرچه فعالیت مشاهده‌شده این افزونه‌ها عمدتاً به هدایت جست‌وجوها برای کسب درآمد مربوط بوده، محققان نسبت به خطرات بالقوه آن هشدار داده‌اند.
زمانی که درخواست جست‌وجو ابتدا به سرور یک شخص ثالث ارسال می‌شود، گرداننده آن سرور می‌تواند از محتوای جست‌وجوها مطلع شود و مقصد نهایی درخواست را تعیین کند.
برای نمونه، پژوهشگران افزونه Predator Search را بررسی کردند و دریافتند شش جست‌وجوی یکسان از طریق سرور واسطه آن به چهار مقصد متفاوت هدایت شده‌اند.
این رفتار نشان می‌دهد مسیر جست‌وجو می‌تواند در سمت سرور تغییر کند، بدون آنکه نیازی به به‌روزرسانی افزونه باشد.
از نظر فنی، چنین قابلیتی ممکن است برای هدایت کاربران به صفحات فیشینگ یا دانلودهای آلوده نیز استفاده شود.
بااین‌حال، باید تأکید کرد که پژوهشگران استفاده عملی از این افزونه‌ها برای چنین حملاتی را تأیید نکرده‌اند و این موضوع فعلاً یک خطر احتمالی محسوب می‌شود.
چگونه افزونه‌های مشکوک کروم را شناسایی و حذف کنیم؟
کاربران می‌توانند با مراجعه به بخش مدیریت افزونه‌های کروم، فهرست ابزارهای نصب‌شده را بررسی کنند.
برای این کار کافی است آدرس chrome://extensions را در نوار آدرس مرورگر وارد کنند.
افزونه‌های ناشناس، ابزارهایی که کاربرد مشخصی ندارند یا افزونه‌هایی که بدون نیاز واقعی نصب شده‌اند، باید با دقت بیشتری بررسی شوند.
همچنین مراجعه به بخش تنظیمات موتور جست‌وجوی کروم می‌تواند مشخص کند آیا ارائه‌دهنده جست‌وجوی پیش‌فرض بدون اطلاع کاربر تغییر کرده است یا خیر.
شرکت Socket فهرست افزونه‌های شناسایی‌شده را در گزارش رسمی خود منتشر کرده است. کاربران می‌توانند نام و شناسه افزونه‌های نصب‌شده را با این فهرست مقایسه کنند.
در صورت شناسایی افزونه مشکوک، حذف آن و بررسی امنیت سیستم توصیه می‌شود.
آیا گوگل افزونه‌های آلوده را حذف کرده است؟
به گزارش BleepingComputer، بیشتر افزونه‌های شناسایی‌شده تا زمان انتشار گزارش از فروشگاه کروم حذف شده بودند.
بااین‌حال، پژوهشگران هشدار می‌دهند که افزونه‌های جدید با نام‌ها و دامنه‌های متفاوت همچنان در حال انتشار هستند.
وب‌سایت BleepingComputer برای دریافت توضیح درباره یافته‌های جدید با گوگل تماس گرفته، اما تا زمان انتشار گزارش پاسخی دریافت نکرده بود.
این تحقیقات بار دیگر نشان می‌دهد که حتی افزونه‌های ساده مرورگر نیز می‌توانند به ابزاری برای ردیابی فعالیت کاربران و کسب درآمد از اطلاعات جست‌وجوی آن‌ها تبدیل شوند.
دیدگاه‌ها