Cómo una extensión de navegador legítima puede leer tus correos, tokens y portales bancarios: permisos manifest.json, secuestro de actualizaciones y Red Team

¿Sabías que esa extensión gratuita para traducir páginas, tomar capturas o bloquear anuncios en tu navegador puede leer en silencio todos tus correos y portales bancarios? Cuando instalas una extensión y aceptas el permiso para leer y modificar tus datos en todos los sitios web, le entregas acceso completo a cada pestaña abierta.

En esta guía técnica de ViciousByte analizamos cómo ocurre este escenario en entornos reales, qué evidencia dejan nuestras pruebas de laboratorio y qué controles de ingeniería de seguridad y operaciones de Red Team permiten prevenirlo.

1. Anatomía técnica del vector y superficie de exposición

Incluso si la herramienta era honesta al principio, grupos criminales compran extensiones populares a sus creadores y publican una actualización silenciosa que convierte el complemento en espía.

Observa esta prueba en nuestro laboratorio de Red Team. Analizamos el manifiesto de una extensión comprometida que inyecta código en cada página para capturar formularios y tokens.

$ python3 audit_browser_extensions.py --profile Default
Extensiones halladas:      11 instaladas por usuarios sin revisión de TI
Extensión crítica:         PDF-Quick-Helper v2.4.1 (Actualizada silenciosamente)
Host permissions:          ["", "*://*/*"] (Acceso a toda la web)
Permisos de API:           ["cookies", "tabs", "webRequest", "storage", "scripting"]
Script de fondo:           background_sw.js ofuscado con llamadas a dominio externo

Como el complemento vive dentro del propio navegador, actúa después de que ya ingresaste tu contraseña y tu código MFA, viendo la información totalmente descifrada en pantalla.

2. Escalada operativa y pruebas de laboratorio

Para el antivirus o el agente EDR esto pasa desapercibido, porque las peticiones de exfiltración salen firmadas por el proceso legítimo de Chrome o Edge hacia Internet.

Mira en esta segunda captura cómo el trabajador en segundo plano de la extensión extrae las cookies de sesión y el contenido de una bandeja corporativa en vivo.

$ python3 inspect_extension_traffic.py --ext-id aklmnopqr12345
Acción del Content Script: MutationObserver enganchado al cuerpo del correo web
Invocación de API:         chrome.cookies.getAll({domain: 'corp-mail.internal'})
Datos recolectados:        Asuntos de correo + cookies SID/SSID + token CSRF
Canal de salida:           fetch() desde Service Worker hacia api-sync-ext.example
Visibilidad en red:        Tráfico TLS 1.3 originado por proceso legítimo chrome.exe

En una empresa jamás debe permitirse la instalación libre de complementos; se debe bloquear todo por defecto y autorizar únicamente extensiones auditadas restringidas a dominios específicos.

3. Mitigación, auditoría y defensa en profundidad

En esta tercera prueba desplegamos políticas empresariales que revocan extensiones no autorizadas y prohíben que cualquier complemento se ejecute sobre los dominios bancarios o internos.

• Referencia técnica 1 (MITRE ATT&CK T1176 — Browser Extensions: Persistence, Credential Access, and Session Hijacking): Los adversarios abusan de extensiones de navegador maliciosas o comprometidas para leer el DOM de sitios web autenticados, robar cookies de sesión y mantener persistencia.
• Referencia técnica 2 (NSA / CISA Guidance — Managing Browser Extension Risks in Enterprise Environments via Allowlisting): Las organizaciones deben bloquear por defecto la instalación de extensiones y emplear políticas como runtime_blocked_hosts para impedir que complementos accedan a portales sensibles.
• Referencia técnica 3 (Google Chrome Enterprise Documentation — ExtensionSettings Policy and Runtime Blocked Hosts): La directiva ExtensionSettings permite restringir permisos peligrosos e impedir que cualquier extensión inyecte scripts o lea datos en dominios críticos definidos por el administrador.

En ViciousByte auditamos la superficie de ataque en los navegadores de tu organización, analizamos el código de tus extensiones instaladas y probamos controles reales con Red Team.

Hoy el navegador es el sistema operativo donde vive tu negocio. Si buscas proteger tu información, acércate a ViciousByte: desarrollo de software, seguridad TI y Red Team.

Canales oficiales de ViciousByte

• Web: https://viciousbyte.com
• Telegram: https://t.me/viciousbyte
• YouTube: https://www.youtube.com/@icrumor
• Instagram: https://www.instagram.com/9viciousbyte
• Facebook: https://www.facebook.com/viciousbyte