Las extensiones de Chrome continúan siendo uno de los principales focos de infección de los que se aprovechan los hackers. En este caso, se ha descubierto que una famosa extensión utilizada para bloquear anuncios estaba infectada. El proceso para evitar riesgos no es sencillo, dado que requiere una limpieza total del equipo.
El equipo de seguridad de la empresa Huntress ha descubierto la existencia de una extensión que estaba disponible con virus en la Google Chrome Web Store. También se encontraba disponible en la tienda de extensiones de Edge y, por el momento, está confirmado que Google la ha eliminado. No obstante, eso no evita que haya miles de usuarios que todavía la tengan en sus equipos.
La extensión recibe el nombre de NexShield y llegó a volverse popular debido a su eficacia en el bloqueo de anuncios en el navegador. Además, llegó a Chrome Web Store arropada aparentemente por el nombre de Raymond Hill, que fue quien desarrolló la famosa uBlock Origin. No obstante, todo fue un truco de los cibercriminales para lograr que la extensión se volviera popular.
¿Cuál es el riesgo?
Aunque se promocionaba como una extensión ideal para seguridad y privacidad, lo que en realidad ocurría con NexShield era que iniciaba un ataque de tipo DoS. La exposición a este riesgo no era simplemente a largo plazo, sino que los usuarios se encontraban inicialmente sufriendo:
- Un aumento en el uso de memoria RAM
- Uso excesivo de la CPU
- Posibles cuelgues del navegador sin motivo aparente
- Cierres inesperados
Por lo que se comenta, lo que hacía la extensión era generar conexiones chrome.runtime sin descanso hasta dejar el sistema totalmente “noqueado”. El equipo de Huntress ha encontrado una relación directa entre este ataque y los ClickFix de los que ya hablamos con anterioridad. Por la naturaleza de la ejecución de NexShield, le han dado el nombre de CrashFix.
El objetivo de la extensión era que el ordenador funcionara tan mal que el usuario no tuviera otra opción que reiniciar el navegador. En ese momento, aparecía un popup que indicaba al usuario que había ocurrido algo extraño y que tenía que hacer un análisis del ordenador para encontrar el origen del error. El problema es que todo parecía muy real y, en realidad, se trataba de parte del plan de los hackers.
Tras realizar el escaneo, el sistema le enseñaba al usuario un mensaje donde le informaba de cómo se habían detectado problemas de seguridad. Además, se compartían unas instrucciones para remediarlo. Aquí es donde se encendían todas las alarmas, dado que esas instrucciones eran para totalmente lo contrario: para poner en riesgo de forma definitiva el ordenador.
Lo que ocurría a continuación era muy peligroso:
- En el Bloc de notas se copia un código que el usuario tiene que pegar y ejecutar desde CMD.
- Al ejecutarlo se utiliza una conexión remota para activar un script de PowerShell que descarga un virus que abre la puerta a mayores riesgos.
Además, el problema es que, después de la instalación de NexShield no parece haber ningún problema. Lo que hace la extensión es poner a correr un contador de 60 minutos y, cuando ha terminado, ejecutar todo lo que hemos explicado. Eso impide que, en algunos casos, pensemos que los problemas puedan estar atribuidos a la extensión.
¿Qué hacer si tenemos la extensión?
Desde Huntress destacan que, con eliminar la extensión, no habremos terminado. No sirve con hacer la desinstalación de la misma, sino que hay que proceder a la limpieza completa del sistema. Explican que esto es necesario a todos los niveles, tanto si hemos ejecutado el código de CMD como si solo hemos instalado la extensión. El motivo se encuentra en que la extensión deja un rastro de virus y scripts maliciosos que es realmente peligroso.
Por lo tanto, ya sea que usemos Chrome como si tenemos Edge, tendremos que proceder a limpiar el disco duro y usar un buen antivirus que nos ayude a dejarlo todo limpio. Además, estos especialistas recuerdan la importancia de confiar únicamente en extensiones de calidad, incluso si las encontramos disponibles en Chrome Web Store. Al fin y al cabo, a Google también se le pasan extensiones debido a que los ciberdelincuentes son cada vez más inteligentes.