Em 29 de outubro de 2026, a Socket publicou uma investigação sobre 319 extensões do Chrome que alteravam o buscador padrão e encaminhavam consultas por servidores controlados por operadores. A Socket estimou cerca de 13,4 milhões de usuários ou instalações acumuladas ao longo de uma década. O proxy podia escolher um destino diferente para cada busca. (Socket)
As contas de extensões e usuários divergem
Os números citados para pesquisas anteriores e novas extensões não batem com o total de 319. A BleepingComputer atribuiu 57 extensões e 6 milhões de usuários à pesquisa anterior, além de 264 extensões e 8,7 milhões de usuários às novas inclusões. Somadas, as parcelas dão 321 extensões e 14,7 milhões de usuários.
A divisão por categoria publicada pela Socket resulta em outros totais: 200 extensões atribuídas a operadores identificados e 119 a operadores desconhecidos, num total de 319. As estimativas de usuários dessas categorias somam aproximadamente 13,44 milhões, valor que arredonda para 13,4 milhões. A Socket apresenta esse agregado como uma estimativa histórica, não como uma contagem de usuários ativos hoje.
Como uma extensão podia redirecionar as buscas
O mecanismo descrito pela Socket usa chrome_settings_overrides, uma configuração do manifesto da extensão que pode substituir o buscador padrão do Chrome. No exemplo apresentado pela Socket, essa mudança não exigia permissões solicitadas, scripts de conteúdo ou um serviço em segundo plano.
Depois da alteração, as consultas podiam passar por um proxy controlado por operadores. Esse servidor recebia as buscas e podia selecionar o destino a cada solicitação. Assim, uma lista de permissões curta, por si só, não indicava para onde as consultas eram encaminhadas. A Socket também relacionou o tráfego a identificadores de parceiros de busca associados ao Yahoo e ao Bing, usados para gerar receita por indicação.
O teste do Predator Search variou os destinos
No exemplo do Predator Search, a Socket relatou que seis buscas idênticas chegaram a quatro resultados diferentes, embora a extensão permanecesse inalterada. O proxy escolheu o destino de cada consulta. Entre os resultados estavam uma busca no Yahoo com identificadores de parceiro, uma página em searchlio.net, um caminho por searchtosearch.com e mcftink.com antes de chegar ao Yahoo, e uma página de erro sem resposta da Cloudflare.
A divisão por categoria da Socket
A Socket atribuiu as extensões e suas estimativas históricas de usuários a duas categorias de operadores:
| Categoria de atribuição da Socket | Extensões | Estimativa histórica de usuários |
| Operadores identificados | 200 | Cerca de 5,68 milhões |
| Operadores desconhecidos | 119 | Cerca de 7,76 milhões |
A investigação também situa extensões do conjunto desde 2016. Entre os grupos descritos pela Socket, SecuryBrowse reúne 58 extensões e cerca de 4,9 milhões de usuários estimados; Bing-Search reúne 37 extensões e aproximadamente 2,21 milhões.
