Hacker ShadyPanda espionou 4,3 milhões via extensões Clean Master e WeTab por sete anos
Uma campanha cibercriminosa ativa desde 2018 comprometeu a segurança de 4,3 milhões de usuários do Google Chrome e do Microsoft Edge. O grupo conhecido como ShadyPanda utilizou extensões originalmente legítimas para distribuir malware, spyware e backdoors que permitiam execução remota de códigos e coleta de dados pessoais.
A operação, revelada pela empresa de cibersegurática Koi em relatório publicado em 1º de dezembro de 2025, explorou falhas no processo de atualização de extensões nas lojas oficiais. Google e Microsoft já removeram os itens das respectivas lojas, mas eles permanecem ativos nos navegadores até a desinstalação manual.
As extensões mais afetadas foram Clean Master, da Starlab Technology, e WeTab, que juntas somavam mais de 4 milhões de instalações ativas até o início de dezembro.
Estratégia de longo prazo do ataque
O grupo adotou abordagem paciente. Primeiro publicou extensões úteis que conquistaram boa reputação e milhões de downloads. Anos depois, liberou atualizações contendo códigos maliciosos.
Essa tática explorou brecha conhecida: enquanto versões iniciais passam por revisão rigorosa, atualizações recebem análise menos detalhada nas duas plataformas.
Funcionamento do Clean Master malicioso
A extensão Clean Master recebeu atualização maliciosa em 2024 que inseriu backdoor completo. O código permitia injeção de scripts mesmo em conexões HTTPS protegidas.
O sistema coletava histórico completo de navegação, referenciadores HTTP, fingerprinting do dispositivo e carimbos de data para montar perfis de comportamento.
O malware incluía mecanismo de evasão que desativava funções suspeitas automaticamente ao detectar ferramentas de desenvolvedor abertas no navegador.
Operação da extensão WeTab
A WeTab, com cerca de 3 milhões de usuários, operava como ferramenta de produtividade aparentemente inofensiva. Na prática enviava dados em tempo real para 17 domínios diferentes.
Entre as informações transmitidas estavam pesquisas realizadas, cliques efetuados, cookies de sessão e outros rastros de atividade online.
Parte dos servidores receptores estava localizada na China, incluindo domínios associados à Baidu e à própria desenvolvedora da extensão.
Resposta imediata das plataformas
O Google confirmou a remoção completa das extensões identificadas da Chrome Web Store. A Microsoft retirou todos os itens maliciosos da loja do Edge Add-ons.
Até 1º de dezembro de 2025, cinco extensões do mesmo grupo ainda estavam disponíveis no Edge, somando mais de 4 milhões de instalações ativas.
As empresas reforçam que a desinstalação manual permanece necessária, pois a simples remoção da loja não desativa cópias já instaladas nos navegadores dos usuários.
Histórico de campanhas anteriores
A Koi identificou ligação do ShadyPanda com operações anteriores já desativadas. Entre elas estavam extensões de papéis de parede que realizavam fraudes de afiliados em sites como Amazon e eBay.
Outros casos envolviam sequestradores de navegador que alteravam resultados de busca para gerar receita ilícita. Todas seguiam padrão similar de infiltração gradual por atualizações.
Medidas recomendadas aos usuários
- Acesse a lista de extensões no Chrome (chrome://extensions/) ou Edge (edge://extensions/)
- Procure por Clean Master, WeTab ou extensões de desenvolvedores Starlab Technology e WeTab
- Remova imediatamente qualquer item suspeito
- Considere usar gerenciadores de senhas com função de alerta para extensões arriscadas
- Mantenha o navegador sempre atualizado com as últimas correções de segurança
A campanha demonstra que mesmo extensões com selo de destaque nas lojas oficiais podem se transformar em ameaças anos após o lançamento inicial.
