Socket veröffentlichte am 29. Oktober 2026 eine Untersuchung zu 319 Chrome-Erweiterungen, die den Standardsuchanbieter änderten und Suchanfragen über Proxys der Betreiber weiterleiteten. Die geschätzte historische Größenordnung bezifferte Socket auf rund 13,4 Millionen Nutzer beziehungsweise Installationen (Socket).
Wie Erweiterungen Suchanfragen trotz fehlender Berechtigungen umleiten können
Socket zufolge nutzten die Erweiterungen die Manifest-Einstellung chrome_settings_overrides, um den Standardsuchanbieter in Chrome zu ändern. Das Beispiel in der Untersuchung kommt ohne angeforderte Berechtigungen, Hintergrunddienst oder Inhaltsskripte aus. Trotzdem können Suchanfragen über einen Proxy des Betreibers laufen, der sie erfasst und für jede Anfrage ein Ziel auswählt.
Socket beschreibt außerdem Partnerkennungen für Yahoo und Bing, über die Betreiber Vermittlungserlöse erzielen konnten. Eine kurze Berechtigungsliste sagt deshalb für sich genommen nicht aus, dass Suchanfragen den Proxy umgehen.
Was der Predator-Search-Test ergab
Bei einem von Socket beschriebenen Test führten sechs identische Suchanfragen zu vier verschiedenen Zielen. Die Erweiterung blieb dabei unverändert; der Proxy bestimmte laut Socket für jede Anfrage das Ziel.
Die Ziele waren Yahoo mit Partnerkennungen, eine Landingpage auf searchlio.net, eine Weiterleitung über searchtosearch.com und mcftink.com zu Yahoo sowie eine nicht antwortende Cloudflare-Fehlerseite. Socket beschrieb damit wechselnde Weiterleitungen in diesem Test.
Wie Socket die Betreiber zuordnet
Socket teilte die Schätzungen in Erweiterungen ein, die bekannten oder unbekannten Betreibern zugeordnet wurden:
| Zuordnung laut Socket | Erweiterungen | Geschätzte historische Nutzer |
| Bekannten Betreibern zugeordnet | 200 | ca. 5,68 Mio. |
| Betreibern unbekannter Zuordnung | 119 | ca. 7,76 Mio. |
Die beiden Nutzerwerte ergeben zusammen rund 13,44 Millionen. Es sind Schätzungen aus der historischen Auswertung, keine Zählung heute aktiver Nutzer oder eindeutig betroffener Personen.
Socket führt die erfasste Aktivität bis 2016 zurück. Als Beispiele nennt die Untersuchung SecuryBrowse mit 58 Erweiterungen und rund 4,9 Millionen geschätzten Nutzern sowie Bing-Search mit 37 Erweiterungen und rund 2,21 Millionen.
Warum die veröffentlichten Summen voneinander abweichen
BleepingComputer führte 57 zuvor erfasste und 264 neu hinzugekommene Erweiterungen auf. Zusammen sind das 321, nicht Socket’s Gesamtzahl von 319. Auch die dort genannten Nutzerschätzungen ergeben eine andere Summe: 6 Millionen plus 8,7 Millionen sind 14,7 Millionen, nicht 13,4 Millionen. Socket’s eigene Betreiberkategorien summieren sich auf rund 13,44 Millionen und damit gerundet auf 13,4 Millionen.
