Microsoft Threat Intelligence ha identificado una extensión maliciosa para navegadores basados en Chromium que se hacía pasar por una herramienta relacionada con Perplexity AI. Su objetivo principal era interceptar las búsquedas de los usuarios, recopilar información sobre su navegación y redirigir posteriormente las consultas hacia motores legítimos para evitar levantar sospechas.
La extensión, denominada “Search for perplexity ai”, utilizaba elementos visuales y referencias a la conocida plataforma de inteligencia artificial para convencer a los usuarios de que estaban instalando un asistente de búsqueda legítimo. Sin embargo, Microsoft comprobó que dirigía las consultas a una infraestructura controlada por los atacantes antes de mostrar los resultados esperados.
Google retiró la extensión tras recibir el aviso de Microsoft.
Las búsquedas pasaban primero por el servidor del atacante
Una vez instalada, la extensión se configuraba como el buscador predeterminado del navegador y reemplazaba la configuración habitual.
Cuando el usuario escribía una consulta en la barra de direcciones, esta no se enviaba directamente a un motor de búsqueda legítimo. Primero pasaba por el dominio controlado por los atacantes.
El servidor podía registrar la consulta completa, la dirección IP, el navegador utilizado y diferentes cabeceras de la petición. Después, la extensión redirigía al usuario hacia Perplexity, Google o Bing, donde aparecían resultados aparentemente normales.
Este sistema de dos pasos permitía que la interceptación pasara inadvertida. El usuario veía la respuesta que esperaba y no recibía ningún aviso que indicara que su búsqueda había atravesado previamente una infraestructura ajena.
Microsoft señala que el código incluido en la extensión confirmaba que el registro de las solicitudes era intencionado y no una consecuencia accidental del funcionamiento del servicio.
Capturaba los caracteres antes de completar la búsqueda
Uno de los comportamientos más preocupantes estaba relacionado con las sugerencias en tiempo real.
La extensión enviaba al dominio de los atacantes los caracteres que el usuario iba escribiendo en la barra de direcciones, antes incluso de pulsar la tecla Intro. Esto permitía observar las consultas mientras se estaban redactando.
Microsoft considera que esta capacidad se aproxima a una captura de pulsaciones, ya que podía recoger fragmentos de búsqueda, nombres, direcciones, dudas personales o cualquier otra información introducida en la barra del navegador.
Aunque la investigación no confirmó el robo de credenciales, el nivel de acceso de la extensión suponía un riesgo elevado para la privacidad y la seguridad.
Las búsquedas pueden revelar información especialmente delicada sobre proyectos empresariales, problemas médicos, asuntos financieros, servicios utilizados, personas investigadas o recursos internos de una organización.
Uso de funciones legítimas para ocultar la actividad
La extensión utilizaba Manifest Version 3, el sistema actual de extensiones de Chromium, y abusaba de la API declarativeNetRequest.
Esta herramienta está diseñada para permitir que las extensiones filtren o modifiquen determinadas solicitudes de red. Puede tener usos legítimos, por ejemplo, en bloqueadores de contenido o soluciones de seguridad.
Sin embargo, en este caso se empleaba para redirigir consultas, reescribir direcciones y confirmar que las reglas de interceptación se habían ejecutado correctamente.
La extensión también incluía conjuntos de reglas preparados para funcionar con diferentes motores de búsqueda. Aunque algunos estaban desactivados, su arquitectura permitía modificar el destino de las redirecciones con relativa facilidad.
El comportamiento malicioso quedaba oculto dentro de funciones propias del navegador, lo que complicaba su detección mediante herramientas tradicionales.
Una página de bienvenida para ganar credibilidad
Tras instalarse, la extensión abría una página de configuración diseñada para parecer el proceso de activación de un producto legítimo.
Este tipo de páginas de bienvenida se utiliza con frecuencia en campañas de adware y secuestro de búsquedas para aumentar la confianza del usuario. Una apariencia cuidada puede hacer que la modificación del buscador predeterminado parezca parte normal del funcionamiento de la herramienta.
La extensión también utilizaba certificados HTTPS, iconos y nombres asociados a la marca suplantada. Estos elementos contribuían a que la infraestructura falsa pareciera profesional y segura.
El hecho de que una página utilice HTTPS no garantiza que sea legítima. El cifrado protege la comunicación, pero no verifica que la persona o empresa detrás del dominio sea de confianza.
