noticias

29 extensões do Chrome em rede coordenada: sequestro de afiliados e risco latente | Segurança

A Chrome Web Store, apesar de todas as promessas de moderação rigorosa, segue sendo um vetor de risco persistente.

Extensões maliciosas conseguem publicar, acumular instalações e operar por semanas — às vezes meses — antes de serem removidas.

O caso mais recente, revelado pela Socket em janeiro de 2026, envolve exatamente 29 extensões sob a marca “10xprofit” que formam uma operação coordenada de hijacking de links de afiliados.

Não é roubo direto do seu cartão.

É roubo sutil, mas sistemático, de receita que seria de criadores de conteúdo e afiliados legítimos.

O mecanismo técnico: injeção automática de tag de afiliado

As extensões se apresentam como ferramentas úteis para e-commerce: bloqueadores de anúncios patrocinados na Amazon, contadores de flash sales no AliExpress, timers de ofertas na Shein, ferramentas para sellers no Shopify ou Best Buy.

Nomes como “Amazon Ads Blocker”, “AliExpress Deals Countdown” ou “10Xprofit - Amazon Seller Tools” soam inofensivos e até práticos.

Na execução:

• Elas monitoram URLs de produtos em sites-alvo.

• Detectam parâmetros de afiliado existentes (tag=xxx-20, por exemplo).

• Substituem silenciosamente pela tag do atacante (10xprofit-20 ou variações).

• Qualquer compra posterior pelo usuário gera comissão para o criminoso.

É um ataque de man-in-the-middle no nível do navegador: o usuário não percebe, a compra acontece normalmente, mas o fluxo de receita é redirecionado.

A rede compartilha infraestrutura: mesmo backend de controle, padrões de código semelhantes, publisher centralizado.

Isso não é coincidência.

É uma campanha unificada que escala o lucro ao distribuir o risco entre múltiplas extensões.

Impactos reais na prática

Para o usuário final:

• Nenhum prejuízo imediato no bolso (a menos que a extensão evolua para exfiltração de dados).

• Mas confiança erodida: a ferramenta “gratuita” que promete economia acaba subsidiando criminosos.

Para criadores e afiliados:

• Perda de receita orgânica.

• Dificuldade em detectar o vazamento, já que o roubo acontece no cliente do comprador, não no link original.

Para o ecossistema:

• Desincentivo ao marketing de afiliados legítimo.

• Aumento da percepção de insegurança na web.

Quem sente primeiro?

• Influenciadores e sites de reviews que dependem fortemente de comissões Amazon/AliExpress.

• Usuários heavy de cupons e caçadores de promoções (perfil que mais instala esse tipo de extensão).

• Pequenos sellers que competem em marketplaces saturados.

O que pode dar errado — e já deu em casos semelhantes

• Atualização futura das extensões pode adicionar payloads mais agressivos: roubo de cookies de sessão, keylogging em formulários, exfiltração de histórico.

• Mesmo após remoção da Store, quem já instalou continua vulnerável até desinstalar manualmente.

• Variantes reaparecem com nomes ligeiramente alterados ou novos publishers.

O que ninguém discute abertamente ainda

A revisão da Chrome Web Store continua focada em análise estática inicial.

Padrões comportamentais pós-instalação — como chamadas recorrentes a domínios de C2 ou modificações em massa de URLs — demoram a ser detectados.

Hipótese técnica: sem implementação de monitoramento contínuo de tráfego de rede e análise de atualizações em escala, campanhas coordenadas como essa se repetirão em ciclos previsíveis de 3 a 9 meses.

Análise da equipe PixBugTech

Extensões de navegador são o calcanhar de Aquiles subestimado do ecossistema web.

Elas rodam com privilégios elevados: leem e modificam todo o DOM, interceptam requisições, persistem entre abas e sessões.

Uma permissão “ler e alterar todos os sites” é, na prática, uma porta aberta para MITM persistente.

A rede 10xprofit não inventou nada revolucionário.

Apenas explorou com eficiência o que o modelo atual permite: publicação rápida, atualizações automáticas, confiança cega no selo “Verified by Google”.

Soluções reais (e viáveis hoje):

• Usuários: audite permissões. Nada de “todos os sites” para bloqueadores de ads. Prefira soluções nativas ou PWAs.

• Google: sandbox mais agressivo para extensões, auditoria comportamental em tempo real, limitação de atualizações silenciosas.

• Desenvolvedores: migre funcionalidades críticas para apps web progressivos ou extensões com escopo restrito.

Enquanto o ciclo persiste — promessa de conveniência → instalação massiva → descoberta tardia → remoção → renascimento —, a lição é clara.

A extensão que bloqueia “anúncios indesejados” pode ser o anúncio mais lucrativo — e invisível — da sua navegação.

Revise sua lista de extensões agora.

Amanhã, a atualização pode não ser benigna.