De um Compromisso Sofisticado na Cadeia de Suprimentos de Extensões de Navegador a um VibeCoded Twist: Extensão do Chrome como Vetor de Acesso Inicial para Cadeia de Malware Ampla

A extensão ShotBird não é um caso isolado, é um sintoma agudo de uma falha estrutural na cadeia de suprimentos do Chrome: mais de 300 extensões maliciosas foram identificadas em uma única campanha em 2026, com 37 milhões de downloads acumulados. O ataque explora três brechas críticas ao mesmo tempo: a transferência não auditada de propriedade de extensões (sem verificação de identidade ou histórico de código), a permissão implícita de 'leitura e modificação em todos os sites' que o usuário aceita sem entender, e a ausência de sandboxing efetivo para regras declarativas como rules.json, que permitiram remover CSP e X-Frame-Options sem disparar alertas.

O stager psfx.msi não é só um artefato técnico, é um indicador de maturidade operacional: ele decodifica comandos via PowerShell Block Logging (Event ID 4104), evitando detecção por EDRs tradicionais, e usa PSEtwLogProvider para suprimir ETW, desabilitando até mesmo o rastreamento nativo do Windows. Isso mostra que o atacante não está apenas roubando senhas, mas construindo um canal persistente de controle remoto com capacidade de extração de credenciais do Credential Manager e dados sensíveis do perfil Chromium, incluindo Web Data e Login, que contêm tokens de sessão, cookies e até dados de pagamento salvos.

Extensões de navegador deixaram de ser ferramentas secundárias, são agora o novo ponto de entrada privilegiado para ataques corporativos. Em 2026, 840 mil instalações de extensões falsas de IA (como assistentes que imitam ChatGPT) já foram registradas, muitas com permissões idênticas às da ShotBird. Empresas que permitem instalações livres de extensões estão, na prática, distribuindo backdoors autorizados. A exfiltração de dados via api.getextensionanalytics.top não é um endpoint aleatório: domínios assim aparecem repetidamente em campanhas paralelas (QuickLens, CL Suite, VK Styles), sugerindo infraestrutura compartilhada e operações coordenadas entre grupos distintos. O fato de o Google ter corrigido 3 zero-days no Chrome só em março de 2026, incluindo CVE-2026-3910 no V8, reforça que o navegador virou um campo de batalha onde vulnerabilidades de execução se combinam com falhas de governança de extensões para gerar danos em escala industrial.