Alicious Chrome Extensions Campaign (108 Add-ons / 20,000 Users)

Malicious Chrome Extensions Campaign es una campaña de malware a gran escala descubierta por la firma de ciberseguridad Socket en abril de 2026, que involucra un clúster de 108 extensiones maliciosas de Google Chrome publicadas bajo cinco identidades de publicador distintas: Yana Project, GameGen, SideGames, Rodeo Games e InterAlt. Estas extensiones, que acumularon colectivamente aproximadamente 20,000 instalaciones en la Chrome Web Store, comparten la misma infraestructura de comando y control (C2) alojada en 144.126.135[.]238. La campaña se caracteriza por una diversidad de comportamientos maliciosos: 54 extensiones roban la identidad de cuentas de Google mediante OAuth2, 45 extensiones contienen una puerta trasera universal que abre URLs arbitrarias al iniciar el navegador, 5 extensiones utilizan la API declarativeNetRequest para eliminar cabeceras de seguridad (CSP, X-Frame-Options, CORS) de sitios objetivo antes de que la página se cargue, y otras extensiones exfiltran sesiones de Telegram Web cada 15 segundos, inyectan superposiciones de apuestas y anuncios en YouTube y TikTok, y actúan como proxy de todas las solicitudes de traducción a través de servidores del atacante. Las extensiones se hacen pasar por herramientas legítimas como clientes de Telegram, juegos de máquinas tragamonedas y Keno, mejoradores de YouTube y TikTok, herramientas de traducción de texto y utilidades de página. El análisis del código fuente ha revelado comentarios en idioma ruso en varias de las extensiones. Se recomienda a los usuarios que hayan instalado alguna de estas extensiones que las eliminen inmediatamente, cierren todas las sesiones de Telegram Web desde la aplicación móvil de Telegram (Configuración > Dispositivos > Terminar todas las demás sesiones), y revisen sus permisos de aplicaciones de terceros.

Nombres Alternativos / Aliases

108 Extensions Campaign (Por el número de extensiones maliciosas)
Yana Project Extensions (Por uno de los publicadores)
Chrome Web Store Malware Cluster (Por el mercado afectado)
Telegram & Google OAuth Theft Campaign (Por los datos robados)
Russian-Language Extension Malware (Por los comentarios en código)

Fecha de Detección / Actividad

Fecha de Descubrimiento: Abril de 2026 (análisis publicado el 14 de abril de 2026).
Período de Actividad: Desconocido, pero las extensiones acumularon ~20,000 instalaciones antes de ser detectadas.
Estado: Las extensiones fueron identificadas y reportadas; se recomienda su eliminación inmediata. No está claro si Google ha eliminado todas las extensiones de la Chrome Web Store.

Actor de Amenaza (Atribución)

Nombre del Actor: No atribuido a un grupo específico. Las extensiones fueron publicadas bajo cinco identidades de publicador distintas.
Tipo de Actor: Grupo de ciberdelincuencia especializado en el desarrollo y distribución de extensiones maliciosas de navegador a través de mercados oficiales.
Sofisticación: Media-alta. El grupo demuestra capacidad para: (a) crear 108 extensiones distintas con funcionalidades aparentemente diversas, (b) publicarlas bajo múltiples identidades de publicador para evadir la detección, (c) acumular 20,000 instalaciones sin ser detectado, (d) implementar técnicas avanzadas como el uso de la API declarativeNetRequest para eliminar cabeceras de seguridad, (e) robar identidades de Google mediante OAuth2, y (f) exfiltrar sesiones de Telegram Web en tiempo real. La presencia de comentarios en ruso en el código fuente sugiere posible origen del desarrollador.
Indicadores de Atribución: Comentarios en idioma ruso en el código fuente de varias extensiones.

Resumen Ejecutivo

Malicious Chrome Extensions Campaign representa una amenaza significativa para la seguridad de los navegadores, demostrando cómo actores maliciosos pueden abusar de los mercados oficiales de extensiones (Chrome Web Store) para distribuir malware a gran escala. La campaña, descubierta por Socket, involucra 108 extensiones maliciosas publicadas bajo cinco identidades de publicador diferentes: Yana Project, GameGen, SideGames, Rodeo Games e InterAlt. Estas extensiones acumularon aproximadamente 20,000 instalaciones antes de ser identificadas. Todas las 108 extensiones comparten la misma infraestructura de comando y control (C2) alojada en 144.126.135[.]238, a donde enrutan credenciales robadas, identidades de usuario y datos de navegación. Las extensiones se hacen pasar por herramientas legítimas como clientes de Telegram, juegos de casino (máquinas tragamonedas y Keno), mejoradores de YouTube y TikTok, herramientas de traducción y utilidades de página. El análisis reveló múltiples comportamientos maliciosos: (1) 54 extensiones roban la identidad de cuentas de Google mediante OAuth2, capturando email, nombre completo, URL de foto de perfil y el identificador de Google account; (2) 45 extensiones contienen una puerta trasera universal que abre URLs arbitrarias tan pronto como el navegador se inicia; (3) 5 extensiones utilizan la API declarativeNetRequest de Chrome para eliminar cabeceras de seguridad (Content Security Policy, X-Frame-Options, CORS) de sitios objetivo antes de que la página se cargue; (4) otras extensiones exfiltran sesiones de Telegram Web cada 15 segundos, inyectan superposiciones de apuestas y anuncios en YouTube y TikTok, inyectan scripts de contenido en cada página visitada, y actúan como proxy de todas las solicitudes de traducción a través del servidor del atacante. Una de las extensiones identificadas, "Telegram Multi-account" (ID: obifanppcpchlehkjipahhphbcbjekfa), extrae el token user_auth utilizado por Telegram Web y lo exfiltra a un servidor remoto, pudiendo también sobrescribir el localStorage con datos de sesión proporcionados por el atacante y forzar la carga de la aplicación de mensajería, reemplazando efectivamente la sesión activa de Telegram de la víctima con la sesión elegida por el atacante. El análisis del código fuente ha revelado comentarios en idioma ruso en varias extensiones, sugiriendo un posible origen ruso del operador. Se recomienda a los usuarios que eliminen inmediatamente cualquier extensión sospechosa, cierren todas las sesiones de Telegram Web desde la aplicación móvil, y revoquen los permisos de aplicaciones de terceros.

Vectores de Ataque / Métodos de Distribución

Chrome Web Store (Mercado Oficial): Las 108 extensiones maliciosas fueron publicadas en la Chrome Web Store, el mercado oficial de extensiones de Google, bajo cinco identidades de publicador distintas.
Suplantación de Identidad (Masquerading): Las extensiones se hacen pasar por herramientas legítimas y populares: clientes de Telegram (ej. "Telegram Multi-account", "Web Client for Telegram - Teleside"), juegos de casino (ej. "Black Beard Slot Machine", "Formula Rush Racing Game"), mejoradores de YouTube y TikTok, herramientas de traducción, y utilidades de página (ej. "Page Locker", "InterAlt").
Ingeniería Social: Los usuarios son atraídos a instalar las extensiones creyendo que son herramientas útiles. La diversidad de funcionalidades aparentes (juegos, mejoradores de redes sociales, utilidades) permite llegar a una amplia audiencia.
Abuso de Permisos de Extensiones: Una vez instaladas, las extensiones solicitan o abusan de permisos que les permiten leer y modificar datos en todos los sitios web, gestionar solicitudes de red, y acceder a la identidad del usuario (OAuth2).

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica (MITRE ATT&CK)	Técnica / Subtécnica	Descripción / Implementación
Resource Development (TA0042)	Develop Capabilities: Malware (T1587.001)	Desarrollo de 108 extensiones maliciosas de Chrome con diversas funcionalidades.
Resource Development (TA0042)	Acquire Infrastructure: Domains (T1583.001)	Adquisición de infraestructura C2 en 144.126.135[.]238.
Initial Access (TA0001)	Drive-by Compromise (T1189) / User Execution (T1204)	Los usuarios instalan voluntariamente las extensiones desde la Chrome Web Store.
Execution (TA0002)	Command and Scripting Interpreter: JavaScript (T1059.007)	El código JavaScript malicioso de las extensiones se ejecuta en el contexto del navegador.
Persistence (TA0003)	Browser Extensions (T1176)	Las extensiones maliciosas persisten en el navegador hasta que son desinstaladas manualmente.
Defense Evasion (TA0005)	Masquerading (T1036) - Match Legitimate Name or Location (T1036.005)	Las extensiones suplantan herramientas legítimas (Telegram, juegos, utilidades).
Defense Evasion (TA0005)	Impair Defenses: Disable or Modify Tools (T1562.001)	5 extensiones usan declarativeNetRequest API para eliminar cabeceras de seguridad (CSP, X-Frame-Options, CORS) antes de que la página cargue.
Credential Access (TA0006)	Steal Web Session Cookie (T1539)	Exfiltración de tokens `user_auth` de Telegram Web y sesiones de Telegram.
Credential Access (TA0006)	Steal Application Access Token (T1528)	54 extensiones roban identidad de cuentas de Google mediante OAuth2, obteniendo tokens de acceso.
Credential Access (TA0006)	Credentials from Password Stores (T1555.003)	Captura de credenciales y tokens de navegadores.
Collection (TA0009)	Data from Local System (T1005)	Recopilación de datos de sesión, identidades de usuario, y datos de navegación.
Collection (TA0009)	Browser Session Hijacking (T1185)	Secuestro de sesiones activas de Telegram Web y Google.
Collection (TA0009)	Input Capture (T1056)	Captura de datos introducidos por el usuario en páginas web.
Command and Control (TA0011)	Application Layer Protocol: Web Protocols (T1071.001)	Comunicación con C2 a través de HTTPS (144.126.135[.]238).
Command and Control (TA0011)	Web Service (T1102)	Uso de servicios web para exfiltración de datos.
Exfiltration (TA0010)	Exfiltration Over Web Service (T1567)	Exfiltración de datos robados a servidores controlados por el atacante.
Impact (TA0040)	Data Manipulation (T1565)	Inyección de scripts arbitrarios, superposiciones de apuestas y anuncios en páginas web.

Flujo de Ataque (Cyber Kill Chain)

Reconocimiento: Los atacantes identifican funcionalidades populares entre los usuarios de Chrome (clientes de Telegram, juegos, mejoradores de redes sociales, utilidades) para crear extensiones señuelo.
Armamento: Los atacantes desarrollan 108 extensiones maliciosas con código malicioso en segundo plano, configuran la infraestructura C2 en 144.126.135[.]238, y preparan las identidades de publicador (Yana Project, GameGen, SideGames, Rodeo Games, InterAlt).
Entrega: Las extensiones se publican en la Chrome Web Store bajo las cinco identidades de publicador.
Explotación: Los usuarios buscan e instalan voluntariamente las extensiones creyendo que son herramientas legítimas. No se requiere explotación de vulnerabilidades técnicas.
Instalación: Las extensiones se instalan en el navegador Chrome del usuario, adquiriendo los permisos solicitados (lectura de datos en sitios web, gestión de red, identidad OAuth2).
Comando y Control (C2): Las extensiones se comunican con el servidor C2 en 144.126.135[.]238 para enviar datos robados y recibir instrucciones (ej., URLs a abrir, scripts a inyectar).
Acción sobre Objetivos:
- Robo de Identidades de Google (54 extensiones): Captura de email, nombre completo, foto de perfil, y Google account ID mediante OAuth2.
- Secuestro de Sesiones de Telegram: Exfiltración del token user_auth cada 15 segundos; posible reemplazo de sesión activa.
- Puerta Trasera Universal (45 extensiones): Apertura de URLs arbitrarias al iniciar el navegador.
- Eliminación de Cabeceras de Seguridad (5 extensiones): Eliminación de CSP, X-Frame-Options, CORS en sitios objetivo.
- Inyección de Contenido: Inyección de superposiciones de apuestas y anuncios en YouTube y TikTok, inyección de scripts en todas las páginas visitadas.
- Proxy de Tráfico: Todas las solicitudes de traducción son proxificadas a través del servidor del atacante.

Infraestructura Utilizada

Tipo	Indicador / Característica	Propósito
Chrome Web Store	Mercado oficial de extensiones de Google	Distribución de las 108 extensiones maliciosas.
Identidades de Publicador	Yana Project, GameGen, SideGames, Rodeo Games, InterAlt	Publicar extensiones bajo múltiples identidades para evadir detección.
Servidor C2	144.126.135[.]238	Recepción de datos robados, envío de instrucciones (URLs, scripts).
APIs Abusadas	OAuth2 (Google Identity), declarativeNetRequest (Chrome), localStorage, WebSocket	Robo de identidades, eliminación de cabeceras de seguridad, exfiltración de datos.
Extensiones Identificadas (Ejemplos)	Telegram Multi-account, Web Client for Telegram - Teleside, Formula Rush Racing Game, Black Beard Slot Machine, Page Locker, InterAlt	Extensiones maliciosas específicas.

Objetivos y Sectores Afectados

Objetivo Principal: Usuarios de Google Chrome que instalan extensiones desde la Chrome Web Store.
Número de Afectados: Aproximadamente 20,000 usuarios (instalaciones acumuladas).
Plataformas Afectadas: Google Chrome (navegador), servicios web (Telegram Web, YouTube, TikTok, Google).
Datos Robados:
- Identidad de cuentas de Google (email, nombre completo, foto de perfil, Google account ID)
- Sesiones de Telegram Web (token user_auth)
- Datos de navegación y sesiones de usuario
Sitios Web Específicamente Afectados: Telegram Web, YouTube, TikTok, Google (OAuth2).
Distribución Geográfica: Global, con posible enfoque en usuarios de habla rusa (comentarios en código en ruso).

Impacto y Riesgo

Nivel de Riesgo: Alto para los 20,000 usuarios afectados. Las extensiones maliciosas tienen acceso completo a los datos de navegación y pueden secuestrar sesiones de servicios críticos como Google y Telegram.
Impacto Potencial:
- Compromiso de Cuentas de Google: Robo de identidad de Google permite acceso a Gmail, Google Drive, Google Calendar, y otros servicios asociados.
- Secuestro de Cuentas de Telegram: El token user_auth robado permite al atacante acceder a todas las conversaciones de Telegram de la víctima, contactos, y grupos.
- Exfiltración de Datos Personales: Email, nombre completo, foto de perfil, y otros identificadores pueden ser utilizados para phishing dirigido o venta en mercados clandestinos.
- Inyección de Contenido Malicioso: La inyección de superposiciones de apuestas y anuncios puede llevar a pérdidas económicas (apuestas fraudulentas) o infección adicional (anuncios maliciosos).
- Pérdida de Privacidad: El atacante puede ver todas las páginas web visitadas por la víctima y potencialmente capturar datos introducidos en formularios.
- Proxy de Tráfico: Las solicitudes de traducción proxificadas permiten al atacante ver el contenido de las traducciones y potencialmente modificarlo.
- Erosión de Confianza en Chrome Web Store: Este incidente demuestra que incluso el mercado oficial de extensiones puede alojar malware a gran escala, afectando la confianza de los usuarios.

Recomendaciones de Mitigación

Eliminación Inmediata de Extensiones Sospechosas (M1033):
- Revisar todas las extensiones instaladas en Chrome (chrome://extensions/).
- Eliminar inmediatamente cualquier extensión publicada por Yana Project, GameGen, SideGames, Rodeo Games, InterAlt.
- Eliminar extensiones específicas identificadas como maliciosas: Telegram Multi-account, Web Client for Telegram - Teleside, Formula Rush Racing Game, Black Beard Slot Machine, Page Locker, InterAlt.
- Desconfiar de extensiones que solicitan permisos excesivos o que imitan herramientas populares pero son publicadas por desarrolladores desconocidos.
Cierre de Sesiones de Telegram Web (M1018):
- Desde la aplicación móvil de Telegram, ir a Configuración > Dispositivos > Terminar todas las demás sesiones.
- Esto invalidará cualquier token user_auth que haya sido exfiltrado por las extensiones maliciosas.
Revisión de Permisos de Aplicaciones de Terceros (M1018):
- Revisar las aplicaciones y extensiones que tienen acceso a la cuenta de Google: Google Account > Seguridad > Aplicaciones de terceros con acceso a la cuenta.
- Revocar el acceso a cualquier aplicación o extensión sospechosa o no reconocida.
Concientización del Usuario (M1017):
- Educar a los usuarios sobre los riesgos de instalar extensiones de navegador, incluso desde mercados oficiales.
- Enseñar a verificar la reputación del publicador, la fecha de publicación, el número de descargas y las reseñas antes de instalar una extensión.
- Recomendar el principio de mínimo privilegio: solo instalar extensiones que sean absolutamente necesarias y que soliciten los permisos mínimos requeridos.
Monitoreo y Auditoría de Extensiones (M1040):
- En entornos corporativos, implementar políticas de gestión de extensiones de Chrome (Chrome Enterprise) para permitir solo extensiones aprobadas.
- Utilizar herramientas de seguridad de navegadores que auditen las extensiones instaladas y detecten comportamientos maliciosos (comunicación con C2, inyección de scripts, acceso a APIs sensibles).

Herramientas de Detección

Revisión Manual de Extensiones: Los usuarios pueden revisar sus extensiones en chrome://extensions/ y buscar publicadores sospechosos (Yana Project, GameGen, SideGames, Rodeo Games, InterAlt).
Herramientas de Seguridad de Navegadores: Extensiones de seguridad como Guardio, McAfee WebAdvisor, o uBlock Origin (con listas de bloqueo de malware) pueden identificar y bloquear extensiones maliciosas.
Chrome Enterprise / Gestión de Extensiones: Las organizaciones pueden utilizar políticas de grupo (GPO) o Chrome Enterprise para forzar la instalación solo de extensiones aprobadas y auditar las extensiones existentes.
Análisis de Tráfico de Red: Herramientas de NDR pueden detectar tráfico hacia 144.126.135[.]238 desde navegadores Chrome, indicando posible comunicación C2.
SIEM: Correlacionar eventos de seguridad de endpoints con listas de IOCs (dominios C2, IDs de extensiones) para identificar sistemas comprometidos.

Referencias y Fuentes

Sunil, N. (2026, 15 de abril). Cybersecurity firm identifies 108 malicious Chrome extensions affecting 20,000 users. (Artículo proporcionado por el usuario).
Lakshmanan, R. (2026, 14 de abril). 108 Malicious Chrome Extensions Steal Google and Telegram Data, Affecting 20,000 Users. (Artículo proporcionado por el usuario).
Pandya, K. (2026, abril). 108 Malicious Chrome Extensions Analysis. Socket. (Análisis técnico citado).
MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-04-16	1.0	Fernando Vargas Hincapié	Creación inicial de la entrada basada en el análisis de Socket sobre 108 extensiones maliciosas de Chrome.

Indicadores de Compromiso (IOCs)

Tipo	Valor
Número de Extensiones Maliciosas	108
Identidades de Publicador	Yana Project, GameGen, SideGames, Rodeo Games, InterAlt
Servidor C2	144.126.135[.]238
Número de Afectados	~20,000 usuarios
Extensiones Maliciosas (Ejemplos)	Telegram Multi-account, Web Client for Telegram - Teleside, Formula Rush Racing Game, Black Beard Slot Machine, Page Locker, InterAlt
IDs de Extensiones (Ejemplos)	obifanppcpchlehkjipahhphbcbjekfa (Telegram Multi-account), mdcfennpfgkngnibjbpnpaafcjnhcjno (Web Client for Telegram - Teleside), akebbllmckjphjiojeioooidhnddnplj (Formula Rush Racing Game)
Funcionalidades Maliciosas	Robo de identidad Google OAuth2 (54 ext.), Puerta trasera universal (45 ext.), Eliminación de cabeceras de seguridad (5 ext.), Exfiltración Telegram Web, Inyección de superposiciones y anuncios, Proxy de traducciones
Sitios Objetivo	Telegram Web, YouTube, TikTok, Google (OAuth2)
Datos Robados	Token `user_auth` de Telegram, email, nombre completo, foto de perfil, Google account ID
APIs Abusadas	OAuth2, declarativeNetRequest, localStorage, WebSocket
Idioma en Código Fuente	Ruso (comentarios en varias extensiones)
Comportamiento Anómalo	Extensiones de Chrome comunicándose con 144.126.135[.]238
Comportamiento Anómalo	Extensiones que solicitan permisos de lectura de datos en todos los sitios web
Comportamiento Anómalo	Extensiones que suplantan herramientas populares pero son publicadas por desarrolladores desconocidos
Comportamiento Anómalo	Inyección de superposiciones de apuestas en YouTube y TikTok
Comportamiento Anómalo	Sesiones de Telegram Web activas desde ubicaciones inesperadas

Etiquetas / Categorías

chrome-extensions malicious-extensions google-chrome telegram oauth2 credential-theft session-hijacking c2-infrastructure socket-security yana-project gamegen sidegames rodeo-games interalt russian-malware data-theft browser-security ciberwiki 108-extensions 20k-users kush-pandya nileena-sunil ravie-lakshmanan