Chrome: extensões fingem ser IA e roubam dados de 300 mil usuários

Extensões de navegador que se apresentam como ferramentas de inteligência artificial estão sendo usadas para roubar credenciais, conteúdos de email e dados de navegação de usuários. A campanha envolve ao menos 30 extensões maliciosas publicadas na Chrome Web Store, muitas delas disfarçadas como assistentes de IA, tradutores ou barras laterais inspiradas em serviços populares.

A descoberta foi feita por pesquisadores da plataforma de segurança LayerX, que identificaram que todos os complementos fazem parte de uma mesma operação, batizada de AiFrame. Mesmo após a remoção de algumas extensões mais populares, outras continuam disponíveis para download e somam dezenas de milhares de instalações ativas.

Segundo a LayerX, todas as extensões analisadas compartilham a mesma estrutura interna, permissões semelhantes e um backend comum, vinculado a um único domínio externo. Apesar de prometerem recursos avançados de IA, nenhuma delas executa processamento local de inteligência artificial.

Na prática, essas extensões carregam, em tela cheia, um iframe que simula a funcionalidade prometida. Esse modelo permite que os responsáveis alterem o comportamento do complemento a qualquer momento, sem precisar submeter novas versões à revisão da loja do Google.

Em segundo plano, o código passa a extrair o conteúdo das páginas visitadas pelo usuário, inclusive telas sensíveis de autenticação. Para isso, utiliza bibliotecas conhecidas para leitura de texto em páginas web. Em alguns casos, o foco é ainda mais específico: metade das extensões identificadas possui scripts dedicados ao Gmail.

Esses scripts são executados logo no início do carregamento do email e conseguem ler diretamente o conteúdo visível das mensagens. Isso inclui textos completos de conversas e até rascunhos ainda não enviados. Quando funções supostamente ligadas à IA são acionadas, esses dados acabam sendo enviados para servidores externos controlados pelos operadores do esquema.

Fonte: Tecnoblog