){kind=link}
Um relatório de segurança cibernética revela mais uma campanha maliciosa envolvendo extensões do Chrome que se disfarçam de assistentes de inteligência artificial. Os atacantes criaram 30 extensões diferentes para o Chrome, cada uma com um nome, visual e identidade distintos, mas todas com o mesmo código interno e a mesma infraestrutura por trás.
Uma extensão de navegador é um pequeno programa instalado dentro do Chrome, ou outro navegador, que adiciona funcionalidades extras à experiência de navegação. Bloqueadores de anúncio, tradutores e corretores de texto são exemplos comuns.
smart_display
Nossos vídeos em destaque
O problema é que extensões, por natureza, precisam de permissões elevadas para funcionar, ou seja, o navegador precisa dar a elas acesso a certas partes do sistema para que possam fazer seu trabalho.
Como funciona o golpe
As extensões se apresentavam como assistentes, feitos com inteligência artificial, prometendo resumir textos, ajudar a escrever e-mails, conversar com o usuário, entre outras funções. Ao todo, mais de 260 mil usuários instalaram ao menos uma dessas extensões, sem saber que estavam instalando um programa espião.
Algumas dessas extensões inclusive receberam o selo de “Destaque” da loja oficial de extensões do Google, o que aumenta a sensação de legitimidade e leva ainda mais pessoas a instalá-las com confiança.
A arquitetura do engano
Em vez de construir as funcionalidades diretamente dentro do código da extensão, os atacantes usaram algo chamado iframe remoto.
Um iframe é um elemento que permite embutir uma página da web dentro de outra página, como uma janela dentro de uma janela. O que os atacantes fizeram foi fazer a extensão abrir um iframe que carregava conteúdo de um servidor externo que eles controlam, no caso, um domínio chamado tapnetic.pro e seus subdomínios (como claude.tapnetic.pro).
Esse iframe ocupava a tela inteira da vítima, parecendo ser a interface real do assistente de IA.
O problema central disso é que todo o comportamento real da extensão não estava dentro do código que a Chrome Web Store analisou na hora da publicação. Estava em um servidor externo, que os atacantes podiam modificar a qualquer momento, sem precisar publicar uma atualização na loja.
Por isso, a extensão podia ser inofensiva no momento da instalação e se tornar maliciosa dias depois, sem que nada mudasse no dispositivo da vítima.
Todo esse acesso para quê?
Quando o servidor remoto instruía a extensão a fazê-lo, ela ativava um script de conteúdo, um código que roda dentro das páginas que a vítima está visitando, para extrair o texto legível da página usando uma biblioteca chamada Readability, da Mozilla.
Isso incluía título, texto principal, trechos e metadados do site. Essas informações eram enviadas de volta ao servidor dos atacantes. Basicamente, qualquer página que a vítima estivesse acessando, inclusive páginas internas de empresas, sistemas autenticados, painéis administrativos, podia ter seu conteúdo capturado e enviado para fora.
A extensão também era capaz de ativar o microfone da vítima usando a Web Speech API, que é uma interface nativa dos navegadores para reconhecimento de fala. Quando ativada pelo servidor remoto, a extensão iniciava o reconhecimento de voz e enviava a transcrição de volta para a infraestrutura dos atacantes.
A extensão incluía scripts de pixel de rastreamento, pequenos trechos de código que enviam sinais para servidores de análise quando a extensão é instalada ou desinstalada. Isso permitia aos operadores monitorar quantas vítimas tinham o programa ativo, construir funis de monetização e analisar o comportamento da base de usuários afetados.
Gmail é o alvo principal
Quinze das trinta extensões tinham um módulo específico para espionar o Gmail. Esse módulo era um script de conteúdo dedicado exclusivamente ao domínio mail.google.com, que era ativado logo no início do carregamento da página, antes mesmo de a vítima terminar de abrir o e-mail.
Esse script injetava elementos de interface controlados pela extensão dentro da tela do Gmail e usava duas técnicas para se manter ativo: o MutationObserver, que é um mecanismo do JavaScript que fica “observando” mudanças na estrutura da página, e uma verificação periódica por intervalo de tempo (polling).
Com isso, a extensão conseguia ler o conteúdo dos e-mails diretamente da tela enquanto a vítima os lia, capturando o texto das conversas, rascunhos e composições.
Quando funções como “resposta automática com IA” eram usadas, o texto do e-mail era transmitido para os servidores dos atacantes. O conteúdo da caixa de entrada da vítima saía do ambiente seguro do Gmail e ia parar em uma infraestrutura de terceiros sem o conhecimento nem o consentimento da vítima.
A infraestrutura de comando e controle
Toda essa operação era gerenciada por meio do domínio tapnetic.pro. Em segurança cibernética, chamada de estrutura de C2, ou infraestrutura de comando e controle — é o servidor central de onde os atacantes dirigem as ações do malware instalado nos dispositivos das vítimas.
O domínio tinha um site de aparência comum, com visual de empresa legítima, mas sem funcionalidade real, sem produtos para download, sem serviços funcionais, sem informações de contato verificáveis. Era essencialmente uma fachada para dar credibilidade ao domínio enquanto a atividade real ocorria nos subdomínios, cada um temático para a extensão que servia (por exemplo, gemini.tapnetic.pro para a extensão que imitava o Gemini).
Essa segmentação por subdomínios é uma técnica de resiliência: se um subdomínio for bloqueado por sistemas de segurança, os outros continuam funcionando normalmente, e o atacante pode simplesmente criar um novo subdomínio para substituir o bloqueado.
Evasão da Chrome Web Store
Os atacantes também demonstraram capacidade de contornar remoções. Uma extensão foi removida da loja em 6 de fevereiro de 2025. Menos de duas semanas depois, em 20 de fevereiro, uma cópia idêntica foi publicada com um novo nome e um novo ID de extensão, mas com o mesmo código JavaScript, as mesmas permissões e a mesma infraestrutura.
Essa tática se chama extension spraying (algo como “dispersão de extensões”): em vez de apostar tudo em uma única extensão, os atacantes mantêm várias ao mesmo tempo, o que garante que quando uma é retirada do ar, as outras continuam ativas — ou uma nova pode ser publicada rapidamente em seu lugar.
Perigo da campanha
O que torna essa campanha particularmente sofisticada é a combinação de três fatores, incluindo a confiança que as vítimas depositam em nomes conhecidos de IA, a aparência de legitimidade conferida pelo selo da Chrome Web Store, e a arquitetura técnica que separa o código revisado (inofensivo na instalação) da funcionalidade real (controlada remotamente e mutável).
Juntos, esses fatores criam um sistema de vigilância silencioso, escalável e difícil de detectar que opera sob a aparência de uma ferramenta de produtividade.
Acompanhe o TecMundo nas redes sociais. Inscreva-se em nosso canal do YouTube e newsletter para mais notícias de segurança e tecnologia.