Socket meldt 319 Chrome-extensies die zoekopdrachten omleiden

Socket meldde op 29 oktober 2026 dat het 319 Chrome-extensies had gevonden die zoekopdrachten omleidden via servers die door de operators werden beheerd. De extensies konden de standaardzoekmachine vervangen en zoekopdrachten via een proxy sturen. Socket schatte het historische aantal gebruikers of installaties op ongeveer 13,4 miljoen, in zijn onderzoek.

De gemelde aantallen komen niet overeen

BleepingComputer schreef dat Socket 264 extensies had toegevoegd aan 57 extensies uit eerder onderzoek. Die aantallen tellen op tot 321, niet 319. Ook de genoemde gebruikersschattingen verschillen: 6 miljoen voor het eerdere onderzoek en 8,7 miljoen voor de toevoegingen komen samen uit op 14,7 miljoen, niet op 13,4 miljoen.

Socket splitste zijn schattingen daarnaast uit naar toeschrijving aan operators. Die categorieën tellen op tot ongeveer 13,44 miljoen, wat afgerond 13,4 miljoen is. De cijfers zijn historische schattingen, geen telling van actieve gebruikers.

Hoe een extensie zoekopdrachten kan omleiden

De manifestinstelling chrome_settings_overrides kan de standaardzoekmachine van Chrome vervangen. In Socket’s voorbeeld vroeg de extensie geen rechten aan en gebruikte die geen achtergrondserviceworker of contentscripts. Toch kunnen zoekopdrachten via de ingestelde proxy lopen. Volgens Socket kan die proxy zoekopdrachten ontvangen en per verzoek een bestemming kiezen. Het ontbreken van aangevraagde rechten betekent dus niet dat zoekopdrachten buiten die route blijven.

Socket zegt dat de omleidingen ook partnercodes voor Yahoo en Bing gebruikten, waarmee operators verwijzingsinkomsten konden ontvangen. De extensies in het onderzoek gaan volgens Socket terug tot 2016.

Zes zoekopdrachten, vier uitkomsten

In een test met Predator Search kwamen zes identieke zoekopdrachten volgens Socket op vier verschillende bestemmingen uit, terwijl de extensie zelf niet veranderde. De uitkomsten waren Yahoo met partnertags, een landingspagina op searchlio.net, een omweg via searchtosearch.com en mcftink.com naar Yahoo, en een Cloudflare-foutpagina. In dit voorbeeld koos de proxy de bestemming voor elke zoekopdracht.

Socket’s verdeling naar operatorcategorie

Socket schreef een deel van de extensies toe aan bekende operators en de rest aan onbekende operators. De bijbehorende gebruikersaantallen zijn bij benadering.

Socket noemde onder meer de groepen SecuryBrowse, met 58 extensies en ongeveer 4,9 miljoen gebruikers, en Bing-Search, met 37 extensies en ongeveer 2,21 miljoen gebruikers. Dat zijn categorieën uit Socket’s onderzoek.