Μια νέα έρευνα στον χώρο της κυβερνοασφάλειας φέρνει στο φως ένα εκτεταμένο δίκτυο επεκτάσεων του Google Chrome, οι οποίες παρουσιάζονται ως αθώα εργαλεία προσαρμογής της αρχικής καρτέλας του προγράμματος περιήγησης (Wallpaper extension), αλλά στην πραγματικότητα φαίνεται να εξυπηρετούν έναν πολύ διαφορετικό σκοπό. Σύμφωνα με τα ευρήματα των ερευνητών της Socket, συνολικά 152 επεκτάσεις Chrome συνδέονται με μια οργανωμένη επιχείρηση διανομής δυνητικά ανεπιθύμητου λογισμικού (PUP), η οποία βασίζεται σε τεχνικές παρακολούθησης χρηστών και χειραγώγησης της διαδικτυακής επισκεψιμότητας.
Το εύρος της καμπάνιας θεωρείται ιδιαίτερα σημαντικό, καθώς οι συγκεκριμένες επεκτάσεις έχουν καταγράψει περισσότερες από 105.000 εγκαταστάσεις, ενώ συνδέονται με δεκάδες διαφορετικούς λογαριασμούς εκδοτών στο Chrome Web Store. Η υπόθεση αναδεικνύει για ακόμη μία φορά τις δυσκολίες που αντιμετωπίζουν οι χρήστες στην αξιολόγηση της αξιοπιστίας των browser extensions, ακόμη και όταν αυτές φιλοξενούνται σε επίσημες πλατφόρμες διανομής.
Ένα πολύπλοκο οικοσύστημα επεκτάσεων
Οι ερευνητές εντόπισαν ότι το δίκτυο εκτείνεται σε 38 διαφορετικούς λογαριασμούς εκδοτών και βασίζεται σε τρεις κύριες υποδομές backend, οι οποίες λειτουργούν ως κεντρικοί κόμβοι διαχείρισης και συλλογής δεδομένων.
Δείτε επίσης: Google Chrome update διορθώνει 28 ευπάθειες
Οι περισσότερες από τις επεκτάσεις παρουσιάζονται ως εργαλεία που προσφέρουν live wallpapers, anime backgrounds, gaming themes ή προσαρμοσμένα νέα tabs. Πρόκειται για μια κατηγορία εφαρμογών που παραδοσιακά συγκεντρώνει μεγάλο ενδιαφέρον από τους χρήστες, ιδιαίτερα μεταξύ νεαρών ηλικιών και φίλων της ποπ κουλτούρας.
Μερικές από αυτές τις επεκτάσεις είναι:
- Neymar – Football Live Wallpaper (laafpeklcnlfmjaofbndehkjpnccbhek)
- Satoru Gojo Manga Live Wallpaper (mnpacdigbockiilmilhbedciadenfdnb)
- Porsche 911 – Sports Car Live Wallpaper (dead service worker) (iedplnnolciaofkakkjmcojnmklpfikg)
- Satoru Gojo Live Wallpaper (ipiabbhciknabpoihaakdahgghllelpj)
- Hello Kitty Wallpapers HD New Tab (hijpkhinofkdobfagfbobnnoihmopgkk)
- Pusheen Cat Wallpapers HD New Tab (famchdjojcnakamhkddkpaglnkonkfnl)
- Peach & Goma Wallpapers HD New Tab (nomekamioepglinefhenifnbegjhfiai)
- Spider-Man Miles Morales Swing Live Wallpaper (jjngbcodoldjmpjpfbhfelaljbdlkekh)
- BMW M3 Neon Night Drive Live Wallpaper (gfikbhpfjldbbikolkcimfgmejhdkjbe)
- BMW Wallpapers (dbiamdajndfmpmmeklcbbnekhkdcakhf)
- Death Note Anime Wallpapers HD New Tab (pkdloppfapenphihgbldhjjlfhgnkmcg)
- Sonic Frontiers Starfall Live Wallpaper (imkepemaflommlonnppjobgdpokbfmoj)
- Tanjiro – Demon Slayer Live Wallpaper (ibglidkppckhminbhbgcajomjplomcka)
- Neymar New Tab Wallpaper (gkbfokaephnaajnmpgiieidpfieamggb)
- Anime Car Drift Live Wallpaper (bcafgkhoifffmnoajkgmbhcojpabjffm)
- Choso Wallpapers New Tab (ojeaociifmdciibodcifjjocdlbjjeep)
- Anime Rain Live Wallpaper (npcghghfkbpgiamoifabankdnmopenni)
- Minecraft Sakura Pond Live Wallpaper (mjdhgndjbajnanfimjipafechjbakdhh)
- Straw Hat Live Wallpaper Ghost of Tsushima (lblgjffllphdepifdkfhlihddckhlkll)
- Zenitsu Agatsuma Live Wallpaper (laeciedchhnmnfhllplcgkfcdbdfgdhn)
Ωστόσο, πίσω από το ελκυστικό περιβάλλον κρύβεται ένας μηχανισμός που φαίνεται να συλλέγει πληροφορίες και να δημιουργεί τεχνητά σήματα επισκεψιμότητας προς διαφημιστικά δίκτυα και συνεργαζόμενες πλατφόρμες.
Τι δηλώνουν οι επεκτάσεις και τι πραγματικά κάνουν
Ένα από τα πιο ανησυχητικά στοιχεία της έρευνας αφορά τη διαφορά ανάμεσα στις δηλώσεις που εμφανίζονται στο Chrome Web Store και στις πραγματικές πολιτικές απορρήτου των επεκτάσεων.
Στις περισσότερες περιπτώσεις, οι καταχωρίσεις αναφέρουν ότι δεν συλλέγονται ούτε χρησιμοποιούνται προσωπικά δεδομένα χρηστών. Ωστόσο, οι αντίστοιχες πολιτικές απορρήτου αποκαλύπτουν ότι καταγράφονται στοιχεία όπως:
- Διευθύνσεις IP
- Πληροφορίες παρόχων διαδικτύου (ISP)
- Δεδομένα κλικ και αλληλεπιδράσεων
- Πηγές παραπομπής επισκεψιμότητας
- Στατιστικά χρήσης
Σύμφωνα με τους ερευνητές, μέρος αυτών των δεδομένων κοινοποιείται σε διαφημιστικά οικοσυστήματα όπως το Google AdSense, το DoubleClick και άλλους συνεργάτες διαφήμισης.
Η συγκεκριμένη πρακτική εγείρει σοβαρά ερωτήματα σχετικά με τη διαφάνεια και τη συμμόρφωση με τις σύγχρονες απαιτήσεις προστασίας προσωπικών δεδομένων.
Η τεχνική της «ψεύτικης οργανικής επισκεψιμότητας»
Το πιο ενδιαφέρον εύρημα της έρευνας αφορά τον τρόπο με τον οποίο οι επεκτάσεις επιχειρούν να κατασκευάσουν τεχνητά σήματα οργανικής επισκεψιμότητας.
Ορισμένες από αυτές περιλαμβάνουν ειδικό κώδικα JavaScript που ενεργοποιείται κατά την εγκατάσταση ή την απεγκατάσταση. Ο κώδικας ανοίγει αυτόματα συγκεκριμένες διευθύνσεις URL, οι οποίες περιέχουν παραμέτρους UTM που συνήθως χρησιμοποιούνται για την παρακολούθηση διαφημιστικών καμπανιών.
Με αυτόν τον τρόπο δημιουργείται η ψευδαίσθηση ότι ένας χρήστης επισκέφθηκε έναν ιστότοπο μέσω οργανικής αναζήτησης της Google, ενώ στην πραγματικότητα η επίσκεψη προκλήθηκε αυτόματα από την ίδια την επέκταση.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Οι ειδικοί χαρακτηρίζουν την τεχνική αυτή ως μια μορφή fraudulent attribution, δηλαδή παραποίησης της προέλευσης της επισκεψιμότητας με στόχο την αλλοίωση των αναλυτικών δεδομένων και πιθανώς την αύξηση διαφημιστικών εσόδων.
Δείτε επίσης: CISA: Ευπάθειες Cisco, Chrome και Arista στον Κατάλογο KEV
Από το adware στην απάτη απόδοσης επισκεψιμότητας
Η Socket αξιολογεί την καμπάνια ως μια οικονομικά υποκινούμενη επιχείρηση που συνδυάζει χαρακτηριστικά adware, παρακολούθησης χρηστών και απάτης διαφημιστικής απόδοσης.
Οι δράστες φαίνεται να προσπαθούν να εκμεταλλευτούν τα συστήματα μέτρησης επισκεψιμότητας δημιουργώντας ψεύτικα σήματα αλληλεπίδρασης, τα οποία μπορεί να επηρεάζουν την αξιολόγηση ιστοσελίδων, διαφημιστικών καμπανιών ή affiliate προγραμμάτων.
Παρότι δεν έχουν εντοπιστεί άμεσες δυνατότητες απομακρυσμένης εκτέλεσης κακόβουλου κώδικα, η δυνατότητα παρακολούθησης χρηστών και χειραγώγησης δεδομένων θεωρείται ιδιαίτερα προβληματική.
Η αθέατη λειτουργία που προβληματίζει τους ερευνητές
Ένα ακόμη εύρημα που προκάλεσε ανησυχία αφορά την ύπαρξη κώδικα ικανού να εντοπίζει και να διαγράφει βάσεις δεδομένων IndexedDB κατά την εκκίνηση ενός service worker.
Παρότι η λειτουργία εμφανίζεται προς το παρόν ανενεργή, η παρουσία της εγείρει ερωτήματα για τον πραγματικό σκοπό της. Οι ερευνητές σημειώνουν ότι τέτοιου είδους δυνατότητες μπορούν θεωρητικά να χρησιμοποιηθούν για την τροποποίηση δεδομένων αποθήκευσης ή τη διαγραφή πληροφοριών που σχετίζονται με άλλες εφαρμογές.
Η ύπαρξη αδρανούς κώδικα αποτελεί συχνά ένδειξη ότι οι δημιουργοί διατηρούν τη δυνατότητα ενεργοποίησης επιπλέον λειτουργιών στο μέλλον.
Δείτε επίσης: Chrome emergency update: 5ο zero-day μέσα στο 2026
Ποιος βρίσκεται πίσω από το δίκτυο;
Η ακριβής ταυτότητα των υπευθύνων παραμένει άγνωστη. Παρόλα αυτά, οι αναλυτές εντόπισαν αρκετές έμμεσες ενδείξεις που δείχνουν πιθανή σύνδεση με την Τουρκία.
Αν και δεν υπάρχουν αποδείξεις που να επιτρέπουν ασφαλή απόδοση ευθυνών, η γεωγραφική προέλευση της υποδομής, ορισμένα γλωσσικά στοιχεία και οι τεχνικές λεπτομέρειες των backend υπηρεσιών φαίνεται να συγκλίνουν προς αυτή την κατεύθυνση.
Η υπόθεση αποτελεί ακόμη μία υπενθύμιση ότι ακόμη και οι πιο απλές και δημοφιλείς επεκτάσεις browser μπορούν να μετατραπούν σε εργαλεία συλλογής δεδομένων και χειραγώγησης της διαδικτυακής δραστηριότητας. Για τους χρήστες, η προσεκτική αξιολόγηση των δικαιωμάτων που ζητά μια επέκταση και η τακτική αναθεώρηση των εγκατεστημένων add-ons παραμένουν βασικά μέτρα προστασίας απέναντι σε ολοένα πιο εξελιγμένες ψηφιακές απειλές.
