Los atacantes se están haciendo pasar por ChatGPT, Gemini y Grok
Las extensiones de navegador con IA siguen siendo un popular vector para los cibercriminales que buscan recopilar información de los usuarios.
Investigadores de la empresa de seguridad LayerX han analizado múltiples campañas en los últimos meses relacionadas con extensiones de navegador maliciosas, incluyendo el extendido esquema GhostPoster, dirigido a Chrome, Firefox y Edge.
En el último caso, denominado AiFrame, los cibercriminales han distribuido aproximadamente 30 complementos de Chrome que suplantan la identidad de conocidos asistentes de IA, como Claude, ChatGPT, Gemini, Grok y "AI Gmail". En conjunto, estas falsificaciones cuentan con más de 300.000 instalaciones.
Las falsas extensiones de Chrome parecen populares asistentes de inteligencia artificial
Las extensiones de Chrome identificadas como parte de AiFrame parecen herramientas legítimas de IA, comúnmente utilizadas para resumir, chatear, escribir y ofrecer asistencia en Gmail. Sin embargo, una vez instaladas, otorgan a los atacantes un amplio acceso remoto al navegador del usuario.
Algunas de las capacidades observadas incluyen reconocimiento de voz, seguimiento de píxeles y legibilidad del contenido del correo electrónico. Los investigadores señalan que las extensiones tienen una amplia capacidad para recopilar datos y monitorear el comportamiento del usuario.
Aunque las extensiones analizadas por LayerX usaban diversos nombres y marcas, se descubrió que las 30 tenían la misma estructura interna, lógica, permisos e infraestructura de backend. En lugar de implementar la funcionalidad localmente en el dispositivo del usuario, renderizan un iframe a pantalla completa que carga contenido remoto como interfaz de la extensión. Esto permite a los atacantes implementar cambios de forma silenciosa en cualquier momento sin necesidad de actualizar Chrome Web Store.
LayerX tiene una lista completa de nombres e ID de extensiones a las que puedes recurrir. Dado que los atacantes usan marcas conocidas o genéricas, como "Gemini AI Sidebar" y "ChatGPT Translate", es posible que no puedas identificar las falsificaciones a simple vista.
Si tienes un asistente de IA instalado en Chrome, ve a chrome://extensions, activa el modo de desarrollador en la esquina superior derecha y busca el ID debajo del nombre de la extensión. Elimina cualquier complemento malicioso y restablece las contraseñas.
Como informa BleepingComputer, algunas extensiones maliciosas ya se han eliminado de Chrome Web Store, pero otras permanecen. Varias han recibido la etiqueta "Destacada", lo que refuerza su legitimidad.
Los atacantes también han podido republicar rápidamente complementos con nuevos nombres utilizando la infraestructura existente, por lo que esta campaña y otras similares podrían persistir. Siempre revisa las extensiones cuidadosamente (no te bases solo en un nombre conocido como ChatGPT) y ten en cuenta que incluso los complementos con inteligencia artificial de fuentes confiables pueden ser altamente invasivos.
