Google e Microsoft Removem Extensão Maliciosa ModHeader com 1,6 Milhão de Usuários

A remoção da extensão ModHeader por Google e Microsoft escancara a sofisticação crescente de ataques na cadeia de suprimentos de software. O código malicioso, embora inativo, já estava presente na versão distribuída para 1,6 milhão de usuários. Ele incluía funcionalidades para coletar impressões digitais de dispositivos e criptografar o histórico de navegação de até mil domínios, enviando-os para a infraestrutura em api.stanfordstudies[.]com. A presença de um mecanismo dormente, ativado por uma 'allow-list' vazia, mostra que os invasores planejaram uma ativação remota sem a necessidade de novas permissões.

O modus operandi revela como o comprometimento de ferramentas populares se tornou um vetor poderoso. A ModHeader, que já foi alvo de queixas por injeção de anúncios em 2023, teve seu código malicioso minificado em uma base legítima. Scanners automatizados falharam, pois a coleta era cifrada, e a exfiltração estava 'gated off', impedindo que sandboxes detectassem a comunicação com o servidor de comando e controle em api.stanfordstudies[.]com. Isso ressalta a falha na detecção de caminhos de código inativos, mas prontos para serem acionados, em extensões de navegadores.

Este incidente com a ModHeader representa uma evolução preocupante nos ataques via extensão de navegador, comparado a casos anteriores. Em 11 de março de 2026, noticiamos sobre a extensão ShotBird, que foi comprometida após uma transferência de propriedade, tornando-se um vetor de malware. Agora, com a ModHeader, vemos o mesmo padrão de aquisição seguido por comprometimento, mas com táticas de evasão muito mais avançadas.

A principal mudança é a introdução de código dormente, criptografia de dados e um mecanismo de ativação remota que burla as ferramentas de segurança. Enquanto a ShotBird se tornou um canal de malware mais direto, a ModHeader preparou uma infraestrutura de exfiltração completa que permaneceu indetectável pelas análises tradicionais. Essa capacidade de 'dormir' e ativar posteriormente, sem exigir novas permissões, eleva o nível da ameaça e a dificuldade de detecção para defensores.

A remoção do ModHeader é um alerta crítico para a segurança digital. Com 1,6 milhão de usuários afetados, a escala da ameaça é imensa, erodindo a confiança em ferramentas aparentemente inofensivas. Para empresas, a presença de uma extensão comprometida pode significar roubo de dados sensíveis, credenciais e até o acesso inicial a redes corporativas se a ferramenta for usada em ambientes de trabalho.

O caso reforça a necessidade de políticas de segurança mais rigorosas para uso de extensões, além de um escrutínio contínuo na cadeia de suprimentos de software. A falha de scanners automatizados em identificar o código malicioso dormente destaca uma lacuna na detecção de ameaças sofisticadas, exigindo que as organizações aprimorem suas estratégias de monitoramento e resposta a incidentes, bloqueando proativamente domínios suspeitos e revisando logs de tráfego.