Il Chrome Web store sotto assedio: 108 estensioni malevole esfiltrano dati e account tra Google e Telegram

16/04/2026 SCIENZA E TECNOLOGIA Preferisci Informazione.News su Google

Redazione Scienza e Tecnologia   -   Sono almeno ventimila gli utenti, sparsi presumibilmente in tutto il mondo, che hanno inconsapevolmente trasformato il proprio browser in un terminale per lo spionaggio informatico. Una recente inchiesta condotta dai ricercatori di Socket, azienda specializzata nella sicurezza della supply chain software, ha portato alla luce un’operazione di massa che coinvolge 108 estensioni dannose per Google Chrome. Tutti questi componenti aggiuntivi, ancora ufficialmente listati sul Chrome Web Store al momento della pubblicazione del rapporto, risultano tecnicamente collegati a un’unica e solida infrastruttura di comando e controllo (C2) ospitata su un server VPS di Contabo, sebbene le identità dei publisher (Yana Project, GameGen, SideGames, Rodeo Games e InterAlt) siano nominalmente distinte. L’inganno, a dir poco, si fonda sulla loro apparente legittimità: si spazia dai giochi da casinò e le slot machine, fino ai sidebar client per Telegram, passando per improbabili ottimizzatori di YouTube e TikTok.

Il furto di identità e le backdoor silenziose

La capillarità dell’operazione è data dalla varietà degli attacchi, ciascuno dei quali sfrutta un vettore specifico per estrarre informazioni sensibili. Da un lato, ben 54 di queste estensioni sfruttano l’API `chrome.identity.getAuthToken`; non appena l’utente clicca sul pulsante di accesso, il codice malevolo intercetta il token OAuth2, inviando poi al server `mines.cloudapi.stream` non solo l’indirizzo email e il nome della vittima, ma anche il `sub` (un identificatore univoco e immutabile dell’account Google). Dall’altro lato, un gruppo numericamente consistente di 45 estensioni contiene una funzione `loadInfo()` che agisce come una vera e propria backdoor: a ogni avvio del browser, questa interroga il server controllato dagli hacker, il quale – in risposta – può ordinare l’apertura silenziosa di URL arbitrari nella scheda corrente, senza che l’utente debba nemmeno interagire fisicamente con l’estensione.

Il caso Telegram: intercettazione e controllo remoto

Tra i tanti, il caso più allarmante riguarda l’estensione denominata "Telegram Multi-account", progettata specificamente per il furto delle sessioni di Telegram Web. Il meccanismo, estremamente invasivo, non si limita a un unico furto: uno script inietta un codice che, ogni quindici secondi, serializza l’intero `localStorage` della pagina `web.telegram.org` per estrarre il token di autenticazione, rispedendolo al C2. Ma c’è di più. La stessa estensione dispone di una funzione speculare (`set_session_changed`) che permette all’operatore di cancellare i dati della vittima e sovrascriverli con una sessione differente. In pratica, un criminale può forzare il browser della vittima a riflettere un account Telegram altrui, un livello di controllo che trasforma il dispositivo in un proxy per ulteriori frodi. Non mancano, inoltre, componenti aggiuntivi pensati per depotenziare la sicurezza dei siti, rimuovendo header come il `Content-Security-Policy` da YouTube e TikTok per iniettarvi pubblicità invasive o reindirizzamenti malevoli.

Un modello criminale consolidato e la mancata rimozione

I commenti in russo trovati all’interno del codice sorgente delle estensioni (`// Проверка на уже авторизованного пользователя`), uniti alla struttura centralizzata dell’infrastruttura, suggeriscono l’esistenza di un programma di Malware-as-a-Service (MaaS) gestito da un singolo attore, con ogni probabilità localizzato in Russia. Questa scoperta arriva a distanza di mesi da altre segnalazioni analoghe che avevano già messo in guardia gli utenti circa la presenza di estensioni spia nel celebre store. Nonostante Socket abbia formalmente richiesto il "takedown" (rimozione) al team di sicurezza del Chrome Web Store e a Google Safe Browsing, al momento della scrittura del rapporto queste 108 estensioni risultavano ancora attive e scaricabili. Una situazione, questa, che mette in luce le evidenti falle nei processi di verifica automatica e manuale di Google, esponendo a un rischio concreto chiunque utilizzi il browser per accedere ai propri servizi di posta elettronica o messaggistica istantanea.