Um relatório de segurança cibernética identificou uma operação que envolvia 30 extensões maliciosas para o navegador Chrome, apresentadas como assistentes de inteligência artificial. No total, essas ferramentas foram instaladas por mais de 260 mil usuários, que não suspeitavam estarem autorizando um programa espião a coletar dados sensíveis.

Como o golpe funcionava

Cada extensão exibia nome, ícone e interface próprios, mas tinha o mesmo código interno e se comunicava com uma infraestrutura remota controlada pelos atacantes. Em vez de executar as funções de IA diretamente no pacote publicado na Chrome Web Store, o software carregava um iframe que buscava seu conteúdo de domínios como tapnetic.pro e subdomínios temáticos.

Arquitetura do ataque

O uso de iframe remoto permitia aos operadores alterar o comportamento da extensão sem nova publicação na loja. Dessa forma, as ferramentas podiam parecer inofensivas na instalação e, dias depois, passar a executar rotinas de espionagem.

Quando acionado, o servidor enviava comandos para que a extensão ativasse um script de conteúdo capaz de extrair o texto legível de qualquer página visitada — incluindo sistemas internos de empresas e painéis administrativos — usando a biblioteca Readability, da Mozilla.

Gravação de áudio e rastreamento

Além de capturar textos, o malware explorava a Web Speech API nativa do navegador para ligar o microfone do usuário e transmitir a transcrição da fala de volta ao servidor de comando. Pequenos pixels de rastreamento também eram incluídos para monitorar quantas instalações e desinstalações ocorriam.

Espionagem de e-mails no Gmail

Quinze das extensões contavam com módulo específico para o Gmail. Esse componente injetava elementos na interface de mail.google.com e utilizava MutationObserver e verificações por intervalos regulares para ler o conteúdo de e-mails, rascunhos e respostas automáticas baseadas em IA e enviá-los ao C2.

Imagem: Divulgação

Infraestrutura de controle e evasão

Toda a operação era gerida por um servidor de comando e controle (C2) no domínio tapnetic.pro. A segmentação em subdomínios garantia resiliência: se um ponto de acesso fosse bloqueado, outros continuavam ativos ou podiam ser recriados.

Os invasores também adotaram a técnica de extension spraying, publicando cópias idênticas com novos nomes e IDs logo após remoções pela Chrome Web Store. Dessa forma, mantinham várias extensões simultâneas e rapidamente substituíam as derrubadas.





Com isso, a campanha combinava a confiança em marcas de IA conhecidas, o selo de destaque da loja e a separação entre código revisado e funcionalidade remota para criar uma rede de vigilância silenciosa e difícil de detectar.

Com informações de Tecmundo