Lo que comenzó como una herramienta funcional basada en la tecnología de Google Lens para el navegador Chrome se transformó drásticamente en una amenaza de seguridad. Tras alcanzar la cifra de 7.000 instalaciones, el complemento pasó a ser una plataforma para la ejecución remota de código malicioso mediante su actualización más reciente.
La extensión, denominada QuickLens, fue dada de baja de la Chrome Web Store el pasado 17 de febrero. Esta medida se tomó luego de detectarse que una nueva versión del software lo convirtió en un vehículo para la distribución de malware y el robo de credenciales en servicios de criptomonedas.
Origen y evolución de la amenaza
El lanzamiento original de este complemento ocurrió en octubre, presentándose como una utilidad para realizar búsquedas visuales en cualquier sitio web. Durante su periodo de actividad legítima, no solo acumuló miles de usuarios, sino que incluso obtuvo una insignia de confianza dentro de la tienda oficial de extensiones de Chrome.
En sus etapas iniciales, QuickLens cumplía con la función que promocionaba. Para ello, solicitaba permisos de acceso
«potencialmente abusivos, pero razonables para una herramienta de captura de pantalla»
y no presentaba
«problemas de seguridad importantes en el código»
, según detalló la firma de seguridad Annex en su blog oficial.
El giro hacia el cibercrimen con la versión 5.8
La situación cambió radicalmente el 17 de febrero con el despliegue de la actualización 5.8. Esta nueva versión introdujo cambios profundos que vulneraron la seguridad de los usuarios:
- Inclusión de nuevos permisos, funciones y scripts maliciosos.
- Exposición del tráfico de los usuarios a ataques de clickjacking.
- Establecimiento de comunicación con un centro de comando y control para recibir instrucciones externas.
- Implementación de un mecanismo de ejecución remota que aprovechaba un truco basado en la carga de píxeles de imagen.
De acuerdo con las investigaciones, este cambio de comportamiento no fue responsabilidad del creador inicial. La extensión fue puesta a la venta en el sitio ExtensionHub apenas dos días después de su estreno en la tienda. Un nuevo propietario tomó el control el 1 de febrero y, poco después,
«se lanzó la versión 5.8, lo que desencadenó un análisis de cambios de código y una notificación push para los afectados»
, informaron los expertos en ciberseguridad.
Fuente: Fuente