Investigadores de seguridad de Koi.ai han destapado una de las operaciones de malware basadas en extensiones de navegador más amplias y persistentes de los últimos años.
La actividad de DarkSpectre forma parte de una infraestructura compleja compuesta por tres campañas maliciosas interconectadas, diseñadas para monetizar tráfico, espiar a los usuarios y obtener inteligencia corporativa. Todas ellas se apoyan en extensiones aparentemente legítimas publicadas en las tiendas oficiales de los navegadores, lo que ha permitido a los atacantes operar durante largos periodos de tiempo sin levantar sospechas.
ShadyPanda y GhostPoster
El modus operandi era generar confianza acumulando instalaciones y valoraciones positivas. Posteriormente, los atacantes activaban el comportamiento malicioso mediante actualizaciones o configuraciones remotas, evitando así levantar alertas tempranas.
La campaña más extensa, denominada ShadyPanda, estaba enfocada en un fraude de afiliados de ecommerce y sería responsable de alrededor de 5,6 millones de infecciones. Estas extensiones se presentaban como herramientas inofensivas, como nuevas páginas de pestañas, utilidades de personalización o traductores.
Una vez instalados dichos añadidos, descargaban configuraciones remotas desde servidores de comando y control que activaban funcionalidades maliciosas como el secuestro de resultados de búsqueda, el seguimiento de la actividad del usuario y el fraude de afiliados. Aquí la clave fue la paciencia de los cibermalos, ya que en muchos casos las extensiones permanecieron publicadas durante años antes de mostrar comportamientos claramente maliciosos.
La segunda operación, conocida como GhostPoster, afectó a más de un millón de usuarios, principalmente en Firefox y Opera. Su rasgo más distintivo era el uso de esteganografía, ocultando código JavaScript malicioso dentro de archivos de imagen PNG. Este código se extraía y ejecutaba dinámicamente tras la instalación de la extensión, permitiendo la ejecución remota de comandos. Además, la activación diferida del malware dificultaba su detección durante los procesos de revisión de las tiendas oficiales.
Videollamadas interceptadas
La tercera campaña, identificada a finales de diciembre de 2025 y denominada Zoom Stealer, supondría un salto cualitativo hacia el espionaje corporativo. Esta operación ha comprometido aproximadamente 2,2 millones de usuarios mediante al menos 18 extensiones que se hacían pasar por herramientas de productividad o descargadores de vídeo.
En realidad, estas herramientas recopilaban información sensible sobre reuniones online, como enlaces, identificadores, títulos de sesiones y credenciales asociadas a plataformas como Zoom, Microsoft Teams y Google Meet. Los datos se exfiltraban en tiempo real a servidores externos mediante WebSockets y servicios en la nube como Firebase.
El equipo de Koi.ai advierte de que esta paciente estrategia permite a los atacantes convertir millones de dispositivos en armas al instante, convirti
Deja una respuesta