El hacker ShadyPanda espió a 4,3 millones a través de las extensiones Clean Master y WeTab durante siete años
Una campaña cibercriminal activa desde 2018 comprometió la seguridad de 4,3 millones de usuarios de Google Chrome y Microsoft Edge. El grupo conocido como ShadyPanda utilizó extensiones originalmente legítimas para distribuir malware, spyware y puertas traseras que permitían la ejecución remota de código y la recopilación de datos personales.
La operación, revelada por la empresa de ciberseguridad Koi en un informe publicado el 1 de diciembre de 2025, exploró fallas en el proceso de actualización de extensiones en las tiendas oficiales. Google y Microsoft ya eliminaron los elementos de sus respectivas tiendas, pero permanecen activos en los navegadores hasta la desinstalación manual.
Las extensiones más afectadas fueron Clean Master, de Starlab Technology, y WeTab, que en conjunto tenían más de 4 millones de instalaciones activas a principios de diciembre.
Estrategia de ataque a largo plazo
El grupo adoptó un enfoque paciente. Primeiro ha publicado extensiones útiles que se han ganado una buena reputación y millones de descargas. Anos publicó posteriormente actualizaciones que contenían código malicioso.
Esta táctica aprovechó una laguna conocida: si bien las versiones iniciales se someten a una revisión rigurosa, las actualizaciones reciben un análisis menos detallado en ambas plataformas.
Cómo funciona Clean Master malicioso
La extensión Clean Master recibió una actualización maliciosa en 2024 que insertó una puerta trasera completa. El código permitía la inyección de scripts incluso a través de conexiones HTTPS protegidas.
El sistema recopiló el historial de navegación completo, referencias HTTP, huellas digitales del dispositivo y sellos de fecha para crear perfiles de comportamiento.
El malware incluía un mecanismo de evasión que deshabilitaba automáticamente funciones sospechosas cuando detectaba herramientas de desarrollador abiertas en el navegador.
Operación de extensión WeTab
WeTab, con alrededor de 3 millones de usuarios, funcionaba como una herramienta de productividad aparentemente inofensiva. En la práctica, envió datos en tiempo real a 17 dominios diferentes.
Entre la información transmitida se encuentran búsquedas realizadas, clics realizados, cookies de sesión y otros rastros de actividad en línea.
Parte de los servidores receptores estaban ubicados en China, incluidos los dominios asociados con Baidu y el propio desarrollador de la extensión.
Respuesta inmediata de las plataformas
Google ha confirmado la eliminación completa de las extensiones identificadas de Chrome Web Store. Microsoft eliminó todos los elementos maliciosos de la tienda de Edge Add-ons.
Al 1 de diciembre de 2025, cinco extensiones del mismo grupo todavía estaban disponibles en Edge, por un total de más de 4 millones de instalaciones activas.
Las empresas refuerzan que la desinstalación manual sigue siendo necesaria, ya que simplemente eliminarlo de la tienda no desactiva las copias ya instaladas en los navegadores de los usuarios.
Historia de campañas anteriores
Koi identificó la conexión de ShadyPanda con operaciones anteriores que ya han sido desactivadas. Entre eran extensiones de fondos de pantalla que realizaban fraudes de afiliados en sitios como Amazon y eBay.
Otros casos involucraron a secuestradores de navegador que alteraron los resultados de búsqueda para generar ingresos ilícitos. Todas siguió un patrón similar de infiltración gradual de actualizaciones.
Medidas recomendadas para los usuarios
- Acceda a la lista de extensiones en Chrome (chrome://extensions/) o Edge (edge://extensions/)
- Busque Clean Master, WeTab o extensiones de desarrollador Starlab Technology y WeTab
- Elimine inmediatamente cualquier elemento sospechoso
- Considere utilizar administradores de contraseñas que le avisen sobre extensiones riesgosas
- Mantenga su navegador siempre actualizado con las últimas correcciones de seguridad
La campaña demuestra que incluso las extensiones con un sello destacado en las tiendas oficiales pueden convertirse en amenazas años después de su lanzamiento inicial.
