Estensioni browser malevoli: il drenaggio silenzioso delle credenziali nello store
Un'estensione del browser riceve più fiducia di quasi ogni altro software che un utente installa. Ottiene un posto fisso all'interno della sessione, spesso con il permesso di leggere e modificare i dati su ogni sito visitato. È esattamente questa fiducia che gli autori di estensioni malevoli monetizzano, e una serie di campagne documentate mostra come schede di store dall'aspetto ordinario lavorino in silenzio come drenaggi di credenziali.
Che cosa può raggiungere un'estensione
La portata è stabilita dai permessi che l'utente approva. I ricercatori di Kaspersky elencano il ventaglio: cookie, password e dati di carte di pagamento prelevati dai moduli web, contenuti degli appunti, screenshot, persino tasti premuti registrati come un keylogger. Campagne reali corrispondono all'elenco. Socket, azienda di sicurezza della supply chain, ha documentato oltre 100 estensioni malevoli nel Chrome Web Store nell'aprile 2026; 54 di esse usavano la chiamata chrome.identity.getAuthToken per raccogliere bearer token OAuth2 di Google, che permettono all'operatore di agire come l'utente, e un'estensione prelevava ogni quindici secondi i dati di sessione di Telegram Web dall'archiviazione locale e poteva sovrascrivere la sessione della vittima con dati forniti dall'attaccante. Una seconda scheda sopravvissuta per anni: a dicembre 2025 BleepingComputer ha riferito di due estensioni del Chrome Web Store nominate Phantom Shuttle, vendute da 1,4 a 13,6 dollari come strumenti di test proxy per utenti in Cina e attive almeno dal 2017. Le estensioni reindirizzavano oltre 170 domini di alto valore attraverso proxy controllati dall'attaccante e, agendo come uomo nel mezzo, catturavano l'invio dei moduli, leggevano i cookie di sessione dalle intestazioni HTTP ed estraevano token API. Entrambe erano ancora elencate quando il rapporto è stato pubblicato. Schede di store e i loader che le aggirano
La scala non è marginale. Secondo il riepilogo di Kaspersky dei dati del 2020, Google ha rimosso 106 estensioni Chrome ruba-dati con 32 milioni di download complessivi, toccando reti di finanza, petrolio e gas, sanità e governo. La campagna di Socket mostra che il formato è ancora attivo: le estensioni si nascondevano dietro cinque identità di publisher e categorie che andavano dai client Telegram ai giochi d'azzardo ai miglioratori video, e 45 di esse contenevano una funzione di avvio nascosta che scaricava comandi da un'infrastruttura dell'attaccante. Non tutte le estensioni malevoli passano da una revisione dello store. Il rapporto di novembre 2023 di Trend Micro su ParaSiteSnatcher ha documentato un framework modulare e fortemente offuscato, consegnato da un downloader VBScript ospitato su Dropbox e Google Cloud. Dopo aver registrato la vittima e recuperato URL offuscati di comando e controllo, il programma di installazione cancellava le scorciatoie del browser e ne creava di nuove che caricano l'estensione, consolidando la persistenza. L'estensione intercettava le richieste POST contenenti dati di conto prima che lasciassero il browser, monitorava i saldi, manipolava transazioni PIX in banche brasiliane e rubava cookie, inclusi cookie Microsoft live.com utilizzabili per attacchi pass-the-cookie contro account cloud. Il gap di revisione: l'approvazione copre l'invio, non il futuro
La revisione dello store esamina il pacchetto che uno sviluppatore invia. Non può esaminare ciò che la stessa estensione farà mesi dopo. Kaspersky nota che le estensioni si aggiornano automaticamente, così un componente legittimo può diventare malevolo dopo: l'estensione Particle è stata venduta e aggiornata per iniettare pubblicità, raggiungendo più di 30.000 utenti prima di essere fermata. Il codice ospitato in remoto spinge oltre, perché un pacchetto che recupera la sua logica reale da un server a runtime è, in pratica, impossibile da revisionare. Manifest V3 è la risposta strutturale di Google: le estensioni devono includere tutto il codice che eseguono nel pacchetto revisionato, e il codice ospitato in remoto, JavaScript o WebAssembly caricato dall'esterno, viene respinto, compresi i percorsi di codice morto che potrebbero caricarlo. La motivazione è proprio il problema post-approvazione: codice che può cambiare dopo la revisione vanifica la revisione. Le eccezioni sono ristrette: gestori di user script, l'interfaccia di debug e iframe isolati. Il riscontro di Socket che 45 estensioni scaricavano comandi a runtime da un server centrale mostra il comportamento che la regola mira a colpire, e perché i controlli della scheda da soli lo perdono. Difesa pratica
La routine è poco brillante. Verificate periodicamente l'elenco delle estensioni installate e rimuovete tutto ciò che non è riconosciuto o utilizzato; Socket ha pubblicato gli ID delle estensioni della sua campagna perché gli utenti potessero confrontare il proprio elenco con voci note come malevole. Mantenete il totale basso, perché ogni installazione è una concessione permanente che si rinnova in silenzio. Trattate l'accumulo di permessi come un segnale d'allarme, l'esempio di Kaspersky è una calcolatrice che richiede geolocalizzazione o cronologia di navigazione. Preferite estensioni con un publisher stabile e un insieme piccolo e spiegabile di permessi a ciò che arriva in cima alla ricerca dello store. Compartimentate: un profilo del browser separato per banca e amministrazione degli account limita ciò che un singolo componente può raggiungere, e la stessa logica spinge le imprese a bloccare o imporre le estensioni dello store sui dispositivi gestiti. Il premio è la sessione autenticata, lo stesso bersaglio dei trojan bancari mobili come ToxicPanda, raggiunto dall'interno del browser invece che tramite un overlay sullo schermo. Un'estensione chiede meno attenzione di un'email di phishing e, per l'operatore, paga in modo comparabile. Le campagne documentate differiscono nella consegna, scheda di store, aggiornamento automatico, dropper e scorciatoia, ma condividono la forma: ottenere la scheda, guadagnare fiducia, attendere, poi drenare le credenziali da una posizione che l'utente non vede mai.
