Tuckners Analyse baut auf seinem Fund vom April 2025 auf, bei dem 57 Chrome-Erweiterungen mit sechs Millionen Nutzern auffielen. Hinzu kommen nun 264 neu identifizierte Add-ons mit weiteren 8,7 Millionen Nutzern. „Diese Erweiterungen wurden von einer Handvoll organisierter Betreiber erstellt, die alle derselben Idee folgen: die Standardsuchmaschine des Browsers unbemerkt übernehmen, jede Anfrage über einen verdächtigen Proxy-Server leiten und unter einer Syndication-Partner-ID Partner-Provisionen von Yahoo oder Bing einstreichen", erklärte Tuckner.
Die Erweiterungen geben sich als PDF-Konverter, Bedienungsanleitungs-Finder, sichere Suche oder KI-Suchwerkzeuge aus, erfüllen aber im Wesentlichen nur den Zweck, Suchanfragen über eine Kette von Websites zu Bing oder Yahoo umzuleiten. Sie liegen zwar im Chrome Web Store, sind dort laut Socket aber nicht gelistet und tauchen in der Suche des Stores nicht auf. Beworben werden sie stattdessen über dubiose Anzeigen auf Websites.
Technisch ist der Aufwand gering: Chromes eingebaute Einstellung „chrome_settings_overrides" erlaubt es, den Standard-Suchanbieter zu ersetzen. Ein im Bericht analysiertes Beispiel besteht lediglich aus einem Manifest und Symbolen — ohne Hintergrund- oder Inhaltsskripte und ohne angeforderte Berechtigungen. Solche Browser-Hijacker verwischen seit Langem die Grenze zwischen potenziell unerwünschten Programmen (PUPs) und Schadsoftware.
Tuckner warnt, dass das Risiko über Werbebetrug hinausreicht: Weil der Proxy zwischen Nutzer und Suchmaschine steht, kann das endgültige Ziel jederzeit geändert werden, ohne dass die Erweiterung aktualisiert werden müsste — etwa hin zu Phishing-Seiten oder schädlichen Downloads. „Die Einnahmen aus Such-Provisionen sind ein profitables Wasserloch, während der Proxy-Betreiber warten kann, bis sich Daten ansammeln und Ziele auftauchen, um dann auf bösartige Suchergebnisse oder Landeseiten für Phishing oder andere schädliche Downloads umzuleiten", so Tuckner.
Als Beispiel nennt er die Erweiterung Predator Search: Sechs identische Suchanfragen über deren Proxy endeten an vier verschiedenen Orten — direkt bei Yahoo mit Partner-Kennungen (hspart=sz&hsimp=yhs-026), auf einer Landeseite von searchlio.net, über einen Zwischenschritt bei searchtosearch.com und eine zweite Ergebnisdomain (mcftink.com) hin zu Yahoo sowie auf einer Cloudflare-Fehlerseite. „Die Erweiterung änderte sich nie; der Proxy wählte das Ziel jeweils beim Eingang der Suchanfrage", berichtete Tuckner.
Der größte kürzlich aktive Verbund ist „Bing-Search" mit 37 Erweiterungen und 2,2 Millionen Nutzern, der häufig über Bidbrain-Anzeigen beworben wird. Eine weitere Welle ist „SecuryBrowse" mit 58 Erweiterungen und 4,9 Millionen Nutzern, die sicherheitsthematische Add-ons wie Fire Shield, Securify und WatchTower vertreibt.
Die vollständige Liste der Erweiterungen findet sich am Ende von Sockets Veröffentlichung. Zum Zeitpunkt der Publikation waren die meisten von ihnen bereits aus dem Chrome Web Store entfernt, laut dem Forscher kommen jedoch ständig neue hinzu.
Nutzern wird empfohlen, die aufgeführten Erweiterungen aus ihren Browsern zu entfernen, einen vollständigen Virenscan durchzuführen und keine unnötigen Werkzeuge und Browser-Add-ons von unbekannten Anbietern zu installieren. Google äußerte sich bis zur Veröffentlichung nicht zu den Erkenntnissen.