Investigadores de ciberseguridad han descubierto extensiones maliciosas de Google Chrome que vienen con capacidades para secuestrar enlaces de afiliados, robar datos y recopilar tokens de autenticación OpenAI ChatGPT.
Una de las extensiones en cuestión es Amazon Ads Blocker (ID: pnpchphmplpdimbllknjoiopmfphellj), que afirma ser una herramienta para navegar por Amazon sin ningún contenido patrocinado. Fue subido a Chrome Web Store por un editor llamado «10Xprofit» el 19 de enero de 2026.
«La extensión bloquea los anuncios anunciados, pero su función principal está oculta: inyecta automáticamente la etiqueta de afiliado del desarrollador (10xprofit-20) en cada enlace de producto de Amazon y reemplaza los códigos de afiliados existentes de los creadores de contenido», dijo el investigador de seguridad de Socket, Kush Pandya.
Un análisis más detallado ha determinado que Amazon Ads Blocker es parte de un grupo más grande de 29 complementos de navegador que apuntan a varias plataformas de comercio electrónico como AliExpress, Amazon, Best Buy, Shein, Shopify y Walmart. La lista completa es la siguiente:
- Generador de facturas de AliExpress (GRATIS) – AliInvoice™️ (más de 10 plantillas) (ID: mabbblhhnmlckjbfppkopnccllieeocp)
- Rastreador de precios de AliExpress: historial de precios y alertas (ID: loiofaagnefbonjdjklhacdhfkolcfgi)
- Conversor rápido de precios y divisas de AliExpress (ID: mcaglpclodnaiimhicpjemhcinjfnjce)
- Cuenta regresiva de ofertas de AliExpress: temporizador de ofertas flash (ID: jmlgkeaofknfmnbpmlmadnfnfajdlehn)
- 10Xprofit – Herramientas para vendedores de Amazon (FBA y FBM) (ID: ahlnchhkedmjbdocaamkbmhppnligmoh)
- Bloqueador de anuncios de Amazon (ID: pnpchphmplpdimbllknjoiopmfphellj)
- Búsqueda de ASIN de Amazon 10xprofit (ID: ljcgnobemekghgobhlplpehijemdgcgo)
- Sugerencia de búsqueda de Amazon (ID: dnmfcojgjchpjcmjgpgonmhccibjopnb)
- Rascador de productos de Amazon 10xprofit (ID: mnacfoefejolpobogooghoclppjcgfcm)
- Búsqueda rápida de marcas en Amazon (ID: nigamacoibifjohkmepefofohfedblgg)
- Comprobador de acciones de Amazon 999 (ID: johobikccpnmifjjpephegmfpipfbfme)
- Ahorro de historial de precios de Amazon (ID: kppfbknppimnoociaomjcdgkebdmenkh)
- Copia increíble de Amazon (ID: ahhfjadelbiifnanjpibbrob)
- Generador de nube de palabras clave de Amazon (ID: gfdbbmngalhmegpkejhidhgdpmehlmnd)
- Descargador de imágenes de Amazon (ID: cpcojeeblggnjjgnpiicndnahfhjdobd)
- Ocultador de reseñas negativas de Amazon (ID: hkkkipfcdagiocekjdhobgmlkhejjfoj)
- Comprobador de puntuación de listado de Amazon (ID: jaojpdijbaolkhkifpgbjnhfbmckoojh)
- Buscador de densidad de palabras clave de Amazon (ID: ekomkpgkmieaaekmaldmaljljahehkoi)
- Notas adhesivas de Amazon (ID: hkhmodcdjhcidbcncgmnknjppphcpgmh)
- Numeración de resultados de Amazon (ID: nipfdfkjnidadibpbpbflijepbllfkokac)
- Calculadora de ganancias de Amazon Lite (ID: behckapcoohededfbgjgkgefgkpodeho)
- Convertidor de peso de Amazon (ID: dfnannaibdndmkienngjahldiofjbkmj)
- Vista rápida de Amazon BSR (ID: nhilffccdbcjcnoopblecppbhalagpaf)
- Herramientas de vendedor y recuento de caracteres de Amazon (ID: goikoilmhcgfidolicnbgggdpckdcoam)
- Comprobador de precios global de Amazon (ID: mjcgfimemamogfmekphcfdehfkkbmldn)
- Búsqueda de BestBuy por imagen (ID: nppjmiadmakeigiagilkfffplihgjlec)
- SHEIN Búsqueda por imagen (ID: mpgaodghdhmeljgogbeagpbhgdbfofgb)
- Búsqueda de Shopify por imagen (ID: gjlbbcimkbncedhofeknicfkhgaocohl)
- Búsqueda de Walmart por imagen (ID: mcaihdkeijgfhnlfcdehniplmaapadgb)
Si bien «Amazon Ads Blocker» ofrece la funcionalidad anunciada, también incorpora código malicioso que escanea todos los patrones de URL de productos de Amazon en busca de cualquier etiqueta de afiliado sin requerir ninguna interacción del usuario, y lo reemplaza con «10xprofit-20» (o «_c3pFXV63» para AliExpress). En los casos en los que no hay etiquetas, la etiqueta del atacante se agrega a cada URL.
Socket también señaló que la página de listado de extensiones en Chrome Web Store hace divulgaciones engañosas, afirmando que los desarrolladores ganan una «pequeña comisión» cada vez que un usuario utiliza un código de cupón para realizar una compra.
Los enlaces de afiliados se utilizan ampliamente en las redes sociales y sitios web. Se refieren a URL que contienen una identificación específica que permite el seguimiento del tráfico y las ventas de un comercializador en particular. Cuando un usuario hace clic en este enlace para comprar el producto, el afiliado gana una parte de la venta.
Debido a que las extensiones buscan etiquetas existentes y las reemplazan, los creadores de contenido de redes sociales que comparten enlaces de productos de Amazon con sus propias etiquetas de afiliados pierden comisiones cuando los usuarios que instalaron el complemento hacen clic en esos enlaces.
Esto equivale a una violación de las políticas de Chrome Web Store, ya que requieren extensiones que utilicen enlaces de afiliados para divulgar con precisión cómo funciona el programa, requieren la acción del usuario antes de cada inyección y nunca reemplazan los códigos de afiliados existentes.
«La divulgación describe una extensión de cupón/oferta con revelaciones activadas por el usuario. El producto real es un bloqueador de anuncios con modificación automática de enlaces», explicó Pandya. «Este desajuste entre divulgación e implementación crea un consentimiento falso».
«La extensión también viola la política de Propósito Único al combinar dos funciones no relacionadas (bloqueo de anuncios e inyección de afiliados) que deberían ser extensiones separadas».
También se ha descubierto que las extensiones identificadas extraen datos de productos y los exfiltran a «app.10xprofit(.)io», y aquellas que se centran en AliExpress ofrecen falsos temporizadores de cuenta regresiva de «OFERTAS POR TIEMPO LIMITADO» en las páginas de productos para crear una falsa sensación de urgencia y apresurarlos a realizar compras para ganar comisiones en enlaces de afiliados.
«Las extensiones que combinan funcionalidades no relacionadas (bloqueo de anuncios, comparación de precios, búsqueda de cupones) con inyección de afiliados deben tratarse como de alto riesgo, particularmente aquellas con revelaciones que no coinciden con el comportamiento real del código», dijo Socket.
La divulgación se produce cuando Symantec, propiedad de Broadcom, señaló cuatro extensiones diferentes que tienen una base de usuarios combinada que supera los 100.000 usuarios y están diseñadas para robar datos.
- Good Tab (ID: glckmpfajbjppappjlnhhlofhdhlacgaj), que otorga permisos completos del portapapeles a un dominio externo («api.office123456(.)com») para habilitar permisos remotos de lectura y escritura en el portapapeles.
- Children Protection (ID: giecgobdmgdamgffeoankaipjkdjbfep), que implementa una funcionalidad para recolectar cookies, inyectar anuncios y ejecutar JavaScript arbitrario contactando a un servidor remoto.
- DPS Websafe (ID: bjoddpbfndnpeohkmpbjfhcppkhgobcg), que cambia la búsqueda predeterminada a una bajo su control para capturar los términos de búsqueda ingresados por los usuarios y potencialmente redirigirlos a sitios web maliciosos.
- Stock Informer (ID: beifiidafjobphnbhbbgmgnndjolfcho), que es susceptible a una vulnerabilidad entre sitios (XSS) de hace años en el complemento de WordPress Stockdio Historical Chart (CVE-2020-28707, puntuación CVSS: 6.1) que podría permitir a un atacante remoto ejecutar código JavaScript
«Si bien las extensiones de navegador pueden proporcionar una amplia gama de herramientas útiles para ayudarnos a lograr más resultados en línea, se debe tener mucho cuidado al elegir instalarlas, incluso cuando se instalan desde fuentes confiables», dijeron los investigadores Yuanjing Guo y Tommy Dong.
Completando la lista de extensiones maliciosas se encuentra otra red de 16 complementos (15 en Chrome Web Store y uno en el mercado de complementos de Microsoft Edge) que están diseñados para interceptar y robar tokens de autenticación ChatGPT inyectando un script de contenido en chatgpt(.)com. En total, las extensiones se descargaron unas 900 veces, según LayerX.
Se considera que las extensiones forman parte de una campaña coordinada debido a las superposiciones en el código fuente, los iconos, la marca y las descripciones.
- Carpeta ChatGPT, descarga de voz, administrador de mensajes, herramientas gratuitas – ChatGPT Mods (ID: lmiigijnefpkjcenfbinhdpafehaddag)
- Descarga de voz ChatGPT, descarga TTS – ChatGPT Mods (ID: obdobankihdfckkbfnoglefmdgmblcld)
- Chat de pin de ChatGPT, marcador – Mods de ChatGPT (ID: kefnabicobeigajdngijnnjmljehknjl)
- Navegador de mensajes ChatGPT, desplazamiento del historial – Mods ChatGPT (ID: ifjimhnbnbniiiaihphlclkpfikcdkab)
- Cambio de modelo ChatGPT, guardar usos avanzados del modelo – ChatGPT Mods (ID: pfgbcfaiglkcoclichlojeaklcfboieh)
- Exportación ChatGPT, Markdown, JSON, imágenes – Mods ChatGPT (ID: hljdedgemmmkdalbnmnpoimdedckdkhm)
- Visualización de marca de tiempo de ChatGPT: modificaciones de ChatGPT (ID: afjenpabhpfodjpncbiiahbknnghabdc)
- Eliminación masiva de ChatGPT, Administrador de chat – Modificaciones de ChatGPT (ID: gbcgjnbccjojicobfimcnfjddhpphaod)
- Historial de búsqueda de ChatGPT, localizar mensajes específicos – ChatGPT Mods (ID: ipjgfhcjeckaibnohigmbcaonfcjepmb)
- Optimización del mensaje ChatGPT – Mods ChatGPT (ID: mmjmcfaejolfbenlplfoihnobnggljij)
- Mensaje contraído – ChatGPT Mods (ID: lechagcebaneoafonkbfkljmbmaaoaec)
- Gestión y conmutación de perfiles múltiples: modificaciones ChatGPT (ID: nhnfaiiobkpbenbbiblmgncgokeknnno)
- Buscar con ChatGPT – Modificaciones ChatGPT (ID: hpcejjllhbalkcmdikecfngkepppoknd)
- Contador de tokens ChatGPT – Modificaciones ChatGPT (ID: hfdpdgblphooommgcjdnnmhpglleaafj)
- Administrador de mensajes de ChatGPT, carpeta, biblioteca, envío automático – Modificaciones de ChatGPT (ID: ioaeacncbhpmlkediaagefiegegknglc)
- Mods ChatGPT: descarga de voz en carpetas y más herramientas gratuitas (ID: jhohjhmbiakpgedidneeloaoloadlbdj)
Dado que las extensiones relacionadas con la inteligencia artificial (IA) se vuelven cada vez más comunes en los flujos de trabajo empresariales, el desarrollo destaca una superficie de ataque emergente donde los actores de amenazas utilizan como arma la confianza asociada con marcas populares de IA para engañar a los usuarios para que las instalen.
Debido a que dichas herramientas a menudo requieren un contexto de ejecución elevado dentro del navegador y tienen acceso a datos confidenciales, las extensiones aparentemente inofensivas pueden convertirse en un vector de ataque lucrativo, permitiendo a los adversarios obtener acceso persistente sin la necesidad de explotar fallas de seguridad o recurrir a otros métodos que puedan activar alarmas de seguridad.
«La posesión de dichos tokens proporciona un acceso a nivel de cuenta equivalente al del usuario, incluido el acceso al historial de conversaciones y a los metadatos», dijo la investigadora de seguridad Natalie Zargarov. «Como resultado, los atacantes pueden replicar las credenciales de acceso de los usuarios a ChatGPT y hacerse pasar por ellos, permitiéndoles acceder a todas las conversaciones, datos o códigos de ChatGPT del usuario».
Los navegadores se convierten en un lucrativo vector de ataque
Los hallazgos también coinciden con la aparición de un nuevo conjunto de herramientas de malware como servicio llamado Stanley que se vende en un foro ruso sobre delitos cibernéticos por entre 2.000 y 6.000 dólares, y permite a los delincuentes generar extensiones maliciosas para el navegador Chrome que pueden usarse para servir páginas de phishing dentro de un elemento iframe HTML sin dejar de mostrar la URL legítima en la barra de direcciones.
Los clientes de la herramienta obtienen acceso a un panel C2 para administrar víctimas, configurar redireccionamientos falsos y enviar notificaciones falsas al navegador. Aquellos que estén dispuestos a gastar 6.000 dólares obtienen la garantía de que cualquier extensión que creen utilizando el kit pasará el proceso de investigación de Google para Chrome Web Store.
Estas extensiones toman la forma de inofensivas utilidades para tomar notas que pasan desapercibidas. Pero su comportamiento malicioso se activa cuando el usuario navega a un sitio web de interés para el atacante, como un banco, momento en el que se superpone un iframe de pantalla completa que contiene la página de phishing, dejando intacta la barra de URL del navegador. Este engaño visual crea un punto ciego defensivo que puede engañar incluso a los usuarios más atentos para que introduzcan sus credenciales o información confidencial en la página.
A partir del 27 de enero de 2025, el servicio parece haber desaparecido, probablemente debido a la divulgación pública, pero es muy posible que pueda resurgir con un nombre diferente en el futuro.
«Stanley ofrece una operación llave en mano de suplantación de sitios web disfrazada de extensión de Chrome, con su nivel premium que promete publicación garantizada en Chrome Web Store», señaló el investigador de Varonis, Daniel Kelley, a principios de esta semana. «Las políticas BYOD, los entornos SaaS y el trabajo remoto han convertido al navegador en el nuevo punto final. Los atacantes lo han notado. Las extensiones maliciosas del navegador son ahora el principal vector de ataque».