Varios aspectos de las extensiones del navegador las hacen inherentemente riesgosas. Estas características las convierten en vectores de ataque increíblemente útiles para los actores de amenazas.

Pueden solicitar permisos amplios

Según Cybernews, el 86% de las extensiones de Chrome exigen permisos que podrían ser peligrosos en las manos equivocadas. Otro estudio encontró que casi la mitad de las extensiones solicitan permisos que no necesitan. Las extensiones suelen exigir privilegios de API de gran alcance, como leer datos del portapapeles, monitorear la entrada del usuario en páginas web o modificar solicitudes de red. Esto puede darle a una extensión con malware una visibilidad extensa sobre aplicaciones empresariales sensibles.

Los usuarios rara vez las revisan después de la instalación

Los usuarios rara vez revisan las extensiones activas a las que les han otorgado tantos permisos. Una vez instaladas, las extensiones operan silenciosamente en segundo plano. Como por lo general se ejecutan dentro de un proceso existente del navegador (en lugar de iniciar un ejecutable separado), el malware de extensión del navegador suele ser menos visible que el malware tradicional, sobre todo en entornos que carecen de controles de seguridad dedicados para el navegador.

Las extensiones pueden actualizarse automáticamente

Los navegadores están diseñados para actualizar automáticamente las extensiones instaladas en segundo plano, con el fin de garantizar que los parches de seguridad se apliquen rápidamente. Esto crea un riesgo significativo en la cadena de suministro. En un ejemplo de extensiones de Chrome con malware, los atacantes comprometieron las cuentas de desarrolladores de al menos 35 extensiones mediante correos de phishing. Luego, enviaron actualizaciones maliciosas en segundo plano a más de 2,5 millones de usuarios.

Las extensiones alguna vez legítimas pueden volverse maliciosas

¿Cómo logra el malware pasar desapercibido ante la revisión de la Chrome Web Store? Los atacantes aprovechan las actualizaciones automáticas de formas sofisticadas. Por ejemplo, los adversarios adquieren extensiones ya consolidadas o desarrollan ellos mismos extensiones útiles, generando poco a poco confianza y reseñas positivas, solo para después enviar actualizaciones maliciosas. Ese fue el caso de la campaña ShadyPanda (2024), en la que el grupo de cibercrimen comprometió varias extensiones del navegador de confianza, convirtiéndolas en spyware que afectó a más de 4 millones de usuarios. Que los atacantes estén dispuestos a jugar este "juego a largo plazo" revela lo potencialmente valiosas que pueden ser las extensiones del navegador maliciosas.

Ya sea en Safari, Firefox o Chrome, el malware de extensión del navegador puede afectar a los usuarios en distintos navegadores y sistemas operativos. Estas son las principales señales de alerta de actividad maliciosa de extensiones:

Redirecciones inesperadas del navegador

Las extensiones maliciosas suelen intentar monetizar el tráfico de los usuarios o redirigir búsquedas. Si un navegador redirige búsquedas estándar a través de dominios intermediarios desconocidos, o si se inyectan píxeles de seguimiento y códigos de afiliado en URL de compras, es posible que una extensión esté manipulando el tráfico.

Extensiones que solicitan nuevos permisos

Aunque las actualizaciones de software legítimas a veces requieren nuevas funciones, un aviso de una extensión simple ya instalada que pide "leer y cambiar todos tus datos en los sitios web que visitas" podría ser señal de un cambio de propiedad o de un compromiso en la cadena de suministro.

Extensiones desconocidas instaladas en varios usuarios

Si la misma extensión no reconocida aparece en varios perfiles de usuario, podría indicar un "sideloading" silencioso. En estos casos, el malware que se ejecuta localmente en el sistema operativo evita por completo la tienda web oficial y, en su lugar, coloca los archivos de la extensión directamente en el directorio del navegador, obligándolo a cargarla. Una vez presente en el *endpoint* (dispositivo conectado a una red), el instalador de malware puede propagarse a otros usuarios mediante estaciones de trabajo compartidas, perfiles de usuario móviles o técnicas de movimiento lateral.

Actividad de inicio de sesión extraña con Microsoft 365 y Google Workspace

Las extensiones maliciosas pueden interceptar y exportar tokens de sesión activos (cookies), lo que permite a los actores de amenazas eludir la MFA al secuestrar la autenticación de un usuario en aplicaciones en la cloud. Si un equipo de seguridad detecta inicios de sesión exitosos desde ubicaciones geográficas desconocidas, desplazamientos imposibles o cadenas de user-agent no reconocidas, podría ser una señal de que una extensión de malware ha robado cookies activas.

Debido a los altos riesgos que conllevan las extensiones maliciosas del navegador, las organizaciones no deberían esperar a que los usuarios noten las señales obvias. Los equipos de seguridad necesitan visibilidad centralizada sobre todas las extensiones activas. Con herramientas como Chrome Browser Cloud Management o Microsoft Intune, los administradores pueden generar inventarios completos y en tiempo real de todas las extensiones implementadas. Luego pueden eliminar cualquier extensión innecesaria o no aprobada. Para eliminar extensiones de inmediato en un entorno administrado con Windows, los administradores pueden usar controles a nivel de registro.

Antes de aprobar cualquier extensión, los equipos de seguridad deben sopesar los permisos requeridos de la herramienta frente a su utilidad para el negocio. Por ejemplo, si una utilidad simple como un grabador de pantalla exige acceso a todo el tráfico web, la organización debería buscar una alternativa.

Si se descubre una extensión maliciosa en un endpoint, el incidente debe tratarse como un compromiso de cuenta. Simplemente eliminar la extensión no resuelve la amenaza de los datos exfiltrados. Los equipos de seguridad deben:

• Aislar el equipo afectado
• Terminar todos los procesos activos del navegador
• Eliminar las carpetas de la extensión del almacenamiento local
• Revocar los tokens de sesión y las cookies activas
• Restablecer las contraseñas de las cuentas afectadas
• Volver a registrar los factores de MFA cuando corresponda

Para protegerse contra extensiones de navegador maliciosas en el futuro, los equipos de TI pueden tomar varias medidas:

Crear una lista de extensiones aprobadas

Las extensiones maliciosas son altamente dinámicas. Una extensión segura y confiable hoy podría verse comprometida más adelante. Las organizaciones deberían pasar de un modelo reactivo de "lista de bloqueo" a un modelo de confianza cero de "solo lista de permitidos". Este enfoque bloquea todas las extensiones por defecto, permitiendo solo herramientas verificadas y previamente aprobadas.

Limitar los permisos de alto riesgo

La política ExtensionSettings permite a los administradores definir centralizadamente reglas granulares que rigen qué extensiones pueden instalarse, instalarse forzosamente, bloquearse o recibir permisos específicos.

Tratar las extensiones de navegador como activos de software

Las extensiones de navegador deberían integrarse en las herramientas de gestión de activos de software (SAM) de las organizaciones. Esto incluye mantener un registro completo de las extensiones activas y monitorear vulnerabilidades conocidas, cambios de propiedad, abandono por parte del desarrollador y permisos recién solicitados.

Capacitar a los usuarios para evitar instalar herramientas de IA o productividad no verificadas

La IA en la sombra —empleados que instalan herramientas de IA no aprobadas— es una amenaza creciente en las organizaciones, y los actores de amenazas están explotando activamente la rápida adopción de herramientas de productividad con IA mediante extensiones de navegador. Si bien la capacitación de seguridad tradicional se enfocaba principalmente en el phishing por correo electrónico basado en enlaces, la capacitación de concientización en seguridad moderna también debería educar a los usuarios sobre la ingeniería social basada en extensiones, especialmente en señuelos de productividad con IA. Los adversarios pueden usar utilidades de barra lateral basadas en el navegador para recopilar historiales de chat, prompts y envíos de código fuente de LLMs, poniendo potencialmente en riesgo datos confidenciales.

Las extensiones maliciosas de navegador son tan riesgosas porque operan sin ser vistas dentro de los navegadores. Aunque puedes tomar medidas para protegerte de extensiones no aprobadas, la prevalencia del shadow IT sugiere que las extensiones maliciosas encontrarán la forma de entrar en tu entorno. Los equipos no pueden asumir que los empleados detectarán las señales antes de que ocurra una brecha grave.

Huntress no administra listas de permitidos de extensiones de navegador ni elimina extensiones directamente, pero Huntress Managed EDR y Managed ITDR pueden ayudar a detectar y responder cuando el abuso de extensiones se convierte en un compromiso de endpoint o de identidad. Aprende más y refuerza tus defensas contra esta amenaza creciente.