Defender revela extensiones AI maliciosas en Chrome

Introducción: por qué esto importa

Las extensiones de navegador de asistente AI se están convirtiendo en complementos “de productividad” comunes para trabajadores del conocimiento, especialmente para el acceso rápido a herramientas como ChatGPT y DeepSeek. La investigación de Microsoft Defender muestra cómo esta conveniencia puede convertirse en un canal de pérdida de datos empresarial: una extensión similar instalada desde un marketplace confiable puede recopilar y exfiltrar de forma continua prompts sensibles, respuestas y URL internas sin comportarse como el malware tradicional.

Novedades / hallazgos clave

Microsoft Defender investigó extensiones maliciosas de Chromium que:

• Suplantan extensiones legítimas de asistente AI usando branding familiar y solicitudes de permisos (Defender observa imitación de herramientas conocidas como AITOPIA).
• Recopilan contenido de chat de LLM y telemetría de navegación, incluyendo:
  • URL visitadas completas (incluidos sitios internos)
  • Fragmentos de chat (prompts y respuestas) de plataformas como ChatGPT y DeepSeek
  • Identificadores del modelo, contexto de navegación y un UUID persistente
• Persisten como extensiones normales (recarga automática al iniciar el navegador, almacenamiento de telemetría en el almacenamiento local de la extensión).
• Exfiltran datos periódicamente vía HTTPS POST, lo que puede parecer tráfico web rutinario.

Los informes de Defender indican que las extensiones alcanzaron ~900.000 instalaciones, y la telemetría de Defender confirma actividad en más de 20.000 tenants empresariales.

Cómo funciona el ataque (alto nivel)

• Entrega: Publicadas en la Chrome Web Store con descripciones orientadas a AI. Dado que Microsoft Edge admite extensiones de la Chrome Web Store, el mismo listado permite alcance multiplataforma.
• Explotación de confianza y permisos: Permisos amplios de extensiones Chromium permitieron observar el contenido de páginas y la actividad de navegación. Se utilizó un mecanismo de consentimiento engañoso, y las actualizaciones podían reactivar la telemetría de forma predeterminada incluso después de que los usuarios optaran por no participar.
• Command and control: Cargas periódicas a dominios controlados por el atacante como deepaichats[.]com y chatsaigpt[.]com, limpiando búferes locales después de la transmisión para reducir artefactos.

Impacto en administradores de IT y usuarios finales

• Riesgo de filtración de datos: Los prompts a menudo incluyen código propietario, procesos internos, discusiones de estrategia, credenciales copiadas en chats y otro contenido confidencial. La exfiltración de URL completas puede revelar la estructura de aplicaciones internas y query strings sensibles.
• Exposición a cumplimiento y privacidad: El historial de chat capturado puede contener datos regulados o personales, complicando obligaciones de retención, eDiscovery y residencia de datos.
• El riesgo de extensiones se vuelve “siempre activo”: A diferencia de un evento de phishing único, una extensión maliciosa puede crear visibilidad continua de la actividad del usuario entre sesiones.

Acciones recomendadas / próximos pasos

1. Buscar y bloquear endpoints de exfiltración conocidos mediante el monitoreo de tráfico saliente HTTPS POST y la aplicación de controles de red para:
   • *.chatsaigpt.com
   • *.deepaichats.com
   • *.chataigpt.pro
   • *.chatgptsidebar.pro
2. Inventariar y auditar extensiones del navegador en endpoints administrados, enfocándose en herramientas AI/“sidebar” con permisos amplios sobre sitios.
3. Endurecer la gobernanza de extensiones:
   • Usar allowlisting para extensiones aprobadas
   • Restringir fuentes de instalación cuando sea posible
   • Revisar comportamientos de actualización y deriva de permisos
4. Usar Microsoft Defender Vulnerability Management para ejecutar Browser extensions assessment, identificar extensiones riesgosas y priorizar la remediación.
5. Educar a los usuarios: tratar los chats de AI como comunicaciones sensibles—evitar pegar secretos, tokens o contenido propietario a menos que la herramienta y la ruta de acceso estén explícitamente aprobadas.