Новый этап исследования выявил 264 расширения браузера, которые перехватывают поисковые запросы и меняют поисковую систему по умолчанию. Эти расширения затрагивают ещё 8,7 млн пользователей. Общее число известных расширений такого типа достигло 319, а число установок за десять лет составляет около 13,4 млн. Часть расширений скрыта из поиска каталога Chrome Web Store. Продвигают их через платные объявления, а не через обычный поиск в каталоге Chrome Web Store.
Описание
Механика начинается с файла конфигурации. В ряде случаев расширение состояло из файла конфигурации и трёх иконок. Оно меняло поисковую систему по умолчанию и не запрашивало разрешений. У него не было фонового обработчика, встраиваемых скриптов и интерфейса; доступ к вкладкам, истории и страницам оно не запрашивало. Пользователь видел стандартное предупреждение при установке, но не получал ясности, куда уходят запросы; исполняемого кода в файле конфигурации не было.
Продвижение идёт через платные объявления в Google Ads, Bidbrain и других рекламных сетях, включая страницы отслеживания переходов. Пользователь попадает на брендированную страницу с кнопкой установки; иногда его автоматически перебрасывает в каталог Chrome Web Store через несколько секунд. Значительная часть таких расширений не отображается в поиске каталога: карточка открывается по прямой ссылке или идентификатору. После удаления расширения операторы быстро создают новые страницы и адреса, поэтому удалённые карточки сменяются новыми. Ранние примеры относятся к 2016 году: русскоязычное расширение Yandex search с 200 тыс. пользователей делало Yandex поисковой системой по умолчанию.
Доход операторы получают из партнёрских программ поисковой синдикации Yahoo и Microsoft. Партнёр приводит поисковый трафик и получает долю рекламных доходов; ему присваивают учётные метки. Для учёта переходов операторы добавляют в запрос партнёрские метки. В более сложных расширениях поиск сначала идёт на прокси-сервер оператора, а оттуда - в Yahoo или Bing. Прокси позволяет учитывать переходы, собирать запросы и выбирать конечный адрес для каждого обращения на стороне сервера.
Подтверждено, что конечный адрес выбирает сервер. Расширение Predator Search с 50 тыс. установок отправило шесть одинаковых запросов через свой прокси-сервер. Они завершились в четырёх разных местах: на выдаче Yahoo с партнёрскими метками, на промежуточной странице, на другой странице результатов и на странице ошибки Cloudflare. Расширение при этом не менялось. Такой выбор позволяет оператору менять выдачу без обновления расширения и действует для каждого запроса отдельно.
Оператор может выбрать другой результат для конкретного запроса или страны. По данным исследования, большинство серверных перенаправлений пока добавляло партнёрские метки к выдаче. Случаев, когда пользователь попадал на фишинговую или вредоносную страницу, в материале не подтверждено; такая возможность остаётся предположением. Не установлено, кто стоит за 119 расширениями с 7,76 млн пользователей и за группой SecuryBrowse из 58 расширений с примерно 4,9 млн пользователей. Из известных операторов - Intango LTD со 111 расширениями и примерно 2,2 млн установок.
Описанные признаки не доказывают вредоносность каждого расширения. Некоторые издатели могли скрывать карточки из каталога по обычным причинам, не связанным с обманом. Перенаправление через прокси не всегда связано с обманом. При этом десятилетняя история, скрытые карточки и платное продвижение показывают повторяющуюся схему. За пределами анализа остались удалённые расширения и страницы, которые не попали в выборку; поэтому 319 расширений и 13,4 млн установок отражают нижнюю оценку, а не полный охват.
Индикаторы компрометации
