Extensões de navegador maliciosas: o dreno silencioso de credenciais na loja
Uma extensão de navegador recebe mais confiança do que quase qualquer outro software que um usuário instala. Ela ganha um lugar fixo dentro da sessão, muitas vezes com permissão para ler e alterar dados em todos os sites visitados. Essa confiança é exatamente o que os autores de extensões maliciosas monetizam, e uma sequência de campanhas documentadas mostra como listagens de lojas que parecem ferramentas comuns trabalham silenciosamente como drenos de credenciais.
O que uma extensão pode alcançar
O alcance é definido pelas permissões que o usuário aprova. Pesquisadores da Kaspersky listam o leque: cookies, senhas e dados de cartões de pagamento retirados de formulários da web, conteúdos da área de transferência, capturas de tela, até teclas capturadas como um keylogger. Campanhas reais correspondem à lista. A Socket, empresa de segurança da cadeia de suprimentos, documentou mais de 100 extensões maliciosas na Chrome Web Store em abril de 2026; 54 delas usavam a chamada chrome.identity.getAuthToken para colher tokens bearer OAuth2 do Google, que permitem ao operador agir como o usuário, e uma extensão puxava dados de sessão do Telegram Web do armazenamento local a cada quinze segundos e podia sobrescrever a sessão da vítima com dados do atacante. Um segundo listado que sobreviveu por anos: em dezembro de 2025, o BleepingComputer relatou duas extensões da Chrome Web Store chamadas Phantom Shuttle, vendidas por US$ 1,4 a US$ 13,6 como ferramentas de teste de proxy para usuários na China e ativas desde pelo menos 2017. As extensões redirecionavam mais de 170 domínios de alto valor por proxies controlados pelo atacante e, enquanto agiam como intermediárias (man-in-the-middle), capturavam envios de formulários, liam cookies de sessão dos cabeçalhos HTTP e extraíam tokens de API. Ambas seguiam listadas quando o relatório foi publicado. Listagens de loja e os loaders que as dispensam
A escala não é marginal. Segundo o resumo da Kaspersky dos dados de 2020, o Google removeu 106 extensões do Chrome que roubavam dados, com 32 milhões de downloads somados, afetando redes de finanças, petróleo e gás, saúde e governo. A campanha da Socket mostra que o formato segue ativo: as extensões se escondiam atrás de cinco identidades de editor e categorias que iam de clientes do Telegram a jogos de azar e aprimoradores de vídeo, e 45 delas continham uma função de inicialização oculta que buscava comandos de infraestrutura do atacante. Nem toda extensão maliciosa passa sequer por uma revisão de loja. O relatório de novembro de 2023 da Trend Micro sobre ParaSiteSnatcher documentou uma estrutura modular e fortemente ofuscada, entregue por um downloader VBScript hospedado no Dropbox e no Google Cloud. Após registrar a vítima e recuperar URLs ofuscadas de comando e controle, o instalador apagava os atalhos do navegador e criava novos que carregam a extensão, consolidando a persistência. A extensão interceptava requisições POST com dados de conta antes que saíssem do navegador, monitorava saldos, manipulava transações PIX em bancos brasileiros e roubava cookies, incluindo cookies da Microsoft live.com úteis para ataques pass-the-cookie contra contas na nuvem. A lacuna de revisão: a aprovação cobre o envio, não o futuro
A revisão da loja examina o pacote que um desenvolvedor envia. Ela não pode examinar o que a mesma extensão fará meses depois. A Kaspersky observa que as extensões se atualizam automaticamente, de modo que um complemento legítimo pode se tornar malicioso depois: a extensão Particle foi vendida e atualizada para injetar anúncios, alcançando mais de 30 mil usuários antes de ser barrada. Código hospedado remotamente vai além, porque um pacote que busca sua lógica real em um servidor em tempo de execução é, na prática, impossível de revisar. O Manifest V3 é a resposta estrutural do Google: as extensões devem empacotar todo o código que executam dentro do pacote revisado, e código hospedado remotamente, JavaScript ou WebAssembly carregado de fora, é rejeitado, incluindo caminhos de código morto que pudessem carregá-lo. A justificativa é precisamente o problema pós-aprovação: código que pode mudar depois da revisão anula a revisão. As exceções são estreitas: gerenciadores de user scripts, a interface de depuração e iframes isolados. A constatação da Socket de que 45 extensões buscavam comandos em tempo de execução de um servidor central mostra o comportamento que a regra mira, e por que checagens de listagem sozinhas a perdem. Defesa prática
A rotina é sem glamour. Audite periodicamente a lista de extensões instaladas e remova tudo que não for reconhecido ou usado; a Socket publicou os IDs de extensões de sua campanha para que usuários pudessem comparar a própria lista com entradas conhecidas como maliciosas. Mantenha o total baixo, porque cada instalação é uma concessão permanente que se renova em silêncio. Trate o crescimento de permissões como sinal de alerta, o exemplo da Kaspersky é uma calculadora que pede geolocalização ou histórico de navegação. Prefira extensões de editor estável e com um conjunto pequeno e explicável de permissões em vez do que aparece primeiro na busca da loja. Compartimentalize: um perfil de navegador separado para banco e administração de contas limita o que qualquer complemento alcança, e a mesma lógica leva empresas a bloquear ou forçar a instalação de extensões da loja em dispositivos gerenciados. O prêmio é a sessão autenticada, o mesmo alvo que troianos bancários móveis como ToxicPanda perseguem, abordado de dentro do navegador em vez de por uma sobreposição na tela. Uma extensão pede menos atenção do que um e-mail de phishing e, para o operador, paga de forma comparável. As campanhas documentadas diferem na entrega, listagem na loja, atualização automática, dropper e atalho, mas compartilham a forma: conseguir o listado, ganhar confiança, esperar e então drenar credenciais de uma posição que o usuário nunca vê.
