Come rilevare e rimuovere le estensioni dannose in Chrome

Informatec Digital » Risorse » Come individuare e rimuovere le estensioni dannose in Chrome

Le estensioni di Chrome sono incredibilmente comode per fare screenshot, bloccare le pubblicità, tradurre pagine web o migliorare YouTube, ma sono anche diventate uno strumento prediletto dai criminali informatici per installare malware sui nostri dispositivi, rubare dati o inondare i nostri browser di pubblicità invasive. Anche se vengono installate dal Chrome Web Store, ciò non significa che siano sempre sicure o che Google le rilevi in ​​tempo.

Se stai cercando un modo per individuare le estensioni dannose in Chrome e cosa fare quando uno strumento apparentemente innocuo inizia a comportarsi in modo strano, questa è la guida completa che fa per te. Scoprirai come funziona la protezione di Google, quali segnali di allarme dovrebbero metterti in guardia, esempi concreti di estensioni pericolose con milioni di download e i passaggi specifici per scansionare, pulire e proteggere il tuo browser.

Perché le estensioni di Chrome possono essere pericolose

Le estensioni sono piccoli programmi che vengono eseguiti all'interno del browser e richiedono l'autorizzazione per accedere a pagine, dati e determinate funzioni di sistema. Questo è il nocciolo del problema: concedendo tali autorizzazioni, si apre la porta a potenziali azioni dannose se lo sviluppatore non è affidabile o se l'estensione viene modificata nel tempo.

Molte estensioni per browser richiedono l'autorizzazione a leggere e modificare i tuoi dati su ogni sito web che visiti. Ciò significa che possono vedere cosa digiti nei moduli, monitorare la tua cronologia di navigazione, modificare il contenuto delle pagine o inserire il proprio codice. Questo è ideale per funzionalità legittime come i blocchi pubblicitari o i traduttori, ma è perfetto anche per chiunque voglia spiarti o manipolare ciò che vedi online.

Un altro rischio significativo è rappresentato dal sistema di aggiornamento automatico . Un'estensione potrebbe essere completamente innocua all'inizio, ma dopo un aggiornamento potrebbe iniziare a includere codice dannoso senza che tu te ne accorga. Potrebbe persino aggiornarsi nuovamente in seguito e "ripulirsi" per evitare di essere rilevata dagli strumenti di sicurezza.

Esistono anche casi in cui il creatore vende l'estensione a un'altra azienda o gruppo che, una volta acquisito il controllo, introduce nuove funzionalità per inserire annunci pubblicitari, raccogliere dati di navigazione a fini commerciali o installare direttamente malware. L'utente finale non viene mai informato di questo cambio di proprietà.

I programmi antivirus hanno difficoltà a rilevare questo tipo di minacce perché, al momento dell'installazione, l'estensione potrebbe non contenere nulla di pericoloso e solo in seguito iniziare a scaricare o attivare codice dannoso da server remoti. Pertanto, avere un buon programma antivirus non è sufficiente: è necessario prestare attenzione anche alle estensioni del browser che si installano.

Come Google Chrome protegge da siti ed estensioni pericolosi

Chrome include di default il sistema di Navigazione sicura di Google , che mantiene elenchi aggiornati di siti sospettati di phishing, malware, software indesiderato, attacchi di ingegneria sociale, pubblicità dannose e persino alcune estensioni pericolose. Quando si tenta di accedere a una pagina pericolosa, verrà visualizzato un avviso con una schermata rossa e il messaggio "Sito pericoloso".

Se ricevi questo avviso durante la navigazione , è meglio non continuare. Quella pagina potrebbe tentare di rubare le tue credenziali, installare malware o ingannarti con messaggi come "il tuo computer è infetto, scarica questo programma". Lo stesso vale per alcuni file che Chrome considera non sicuri: il browser potrebbe bloccare il download e visualizzare un messaggio di avviso.

Oltre alla protezione standard, è disponibile l'opzione Navigazione sicura avanzata , che offre controlli più frequenti e in tempo reale. Attivandola in Impostazioni > Privacy e sicurezza > Sicurezza, Chrome può scansionare in modo più approfondito siti web, download e alcune estensioni, aumentando la sua capacità di rilevare nuove minacce.

Disattivare la Navigazione sicura non è consigliabile . Sebbene sia possibile disattivarla nelle impostazioni di sicurezza, Google afferma chiaramente che l'opzione "Nessuna protezione" non è raccomandabile. Se si utilizza un computer aziendale o scolastico, l'amministratore potrebbe aver attivato questa protezione e impedirne la modifica, proprio per evitare rischi.

In alcuni casi, Chrome visualizza anche messaggi come "Forse intendevi?" quando sospetta che un URL possa impersonare un sito legittimo che visiti regolarmente. Se una pagina è troppo simile a un servizio familiare o a un indirizzo presente nella cronologia di navigazione, il browser potrebbe avvisarti che potresti trovarti di fronte a un sito web falso.

Segnali che potrebbero indicare la presenza di malware o di un'estensione dannosa

Oltre agli avvisi di Chrome, è importante prestare attenzione a sintomi sospetti che potrebbero indicare la presenza di malware sul dispositivo o di un'estensione del browser pericolosa. Questi segnali possono manifestarsi sia a livello di sistema che all'interno di Chrome stesso.

Il tuo dispositivo potrebbe visualizzare strani avvisi di virus che non riconosci come provenienti dal tuo antivirus, messaggi pop-up persistenti o un notevole rallentamento del computer. È anche frequente che lo spazio di archiviazione si riduca improvvisamente o che il computer inizi a bloccarsi senza una ragione apparente.

Nel browser, i sintomi sono ancora più evidenti : un aumento esagerato di finestre pop-up, nuove schede che si aprono da sole, barre degli strumenti sconosciute, estensioni che non ricordi di aver installato o continui cambiamenti alla pagina iniziale e al motore di ricerca predefinito senza che tu li abbia modificati.

Un altro segnale d'allarme è la sensazione di aver perso il controllo della navigazione . Ad esempio, digiti un indirizzo web familiare e Chrome ti reindirizza a un'altra pagina piena di pubblicità o contenuti sospetti; oppure accedi a un motore di ricerca legittimo e noti che i risultati presentano link strani, reindirizzamenti aggressivi o pubblicità molto invasive che altri utenti non vedono.

Dovresti insospettirti anche se i tuoi contatti iniziano a ricevere email o messaggi dai tuoi account che non hai inviato. Questo potrebbe essere un segnale che un'estensione o un malware ha rubato le tue credenziali o sta abusando delle tue sessioni di navigazione aperte.

Casi reali: estensioni dannose con milioni di download

Negli ultimi anni, decine di estensioni dannose sono state scoperte direttamente sul Chrome Web Store, con numeri di download allarmanti. In una nota indagine, un'estensione apparentemente innocua per lavorare con i file PDF, chiamata PDF Toolbox, aveva accumulato circa due milioni di utenti e recensioni positive, ma conteneva codice nascosto che caricava script arbitrari da un dominio esterno.

Dopo aver analizzato le comunicazioni di quell'estensione , si è scoperto che si connetteva a un server remoto (ad esempio, serasearchtopcom) dal quale poteva iniettare codice in tutte le pagine visualizzate dall'utente. Grazie a questa pista, sono state individuate diverse decine di estensioni che si connettevano allo stesso server e presentavano un comportamento simile.

Il ricercatore che ha scoperto PDF Toolbox ha ampliato la sua indagine e ha finito per identificare 34 estensioni con funzionalità principali molto diverse (blocchi pubblicitari, lettori, strumenti per YouTube, VPN, ecc.), ma con lo stesso schema di comportamento dannoso. Complessivamente, avevano circa 87 milioni di download. La più popolare, Autoskip per YouTube, da sola contava oltre nove milioni di installazioni.

Queste estensioni erano disponibili nello store ufficiale da mesi , alcune addirittura dal 2021 e dal 2022, e nonostante le recensioni degli utenti che segnalavano comportamenti anomali (come la sostituzione dei link nei risultati di ricerca con adware), non era stato intrapreso alcun provvedimento immediato. Solo dopo la pubblicazione di analisi dettagliate da parte di diversi esperti, Google ha deciso di rimuoverle dal Chrome Web Store.

Il problema aggiuntivo è che, anche se le rimuovi dallo store , le estensioni non scompaiono automaticamente dai browser in cui sono già installate. In altre parole, se non vai su chrome://extensions e non le rimuovi manualmente, possono rimanere attive e funzionanti senza che tu te ne accorga.

Tra le estensioni particolarmente problematiche menzionate in questo elenco figurano: Autoskip for Youtube, Soundboost, Crystal Adblock, Brisk VPN, Clipboard Helper, Maxi Refresher, Quick Translation, Easyview Reader view, PDF Toolbox, Epsilon Ad blocker, Craft Cursors, Alfablocker ad blocker, Zoom Plus, Base Image Downloader, Clickish fun cursors, Cursor-A custom cursor, Amazing Dark Mode, Maximum Color Changer for Youtube, Awesome Auto Refresh, Venus Adblock, Adblock Dragon, Readl Reader mode, Volume Frenzy, Image download center, Font Customizer, Easy Undo Closed Tabs, Screence screen recorder, OneCleaner, Repeat button, Leap Video Downloader, Tap Image Downloader, Qspeed Video Speed ​​Controller, HyperVolume e Light picture-in-picture.

Caso di studio: estensioni distribuite da siti web di film online

Un altro scenario comune riguarda i siti di film e streaming online che abusano della pubblicità aggressiva. Alcuni di questi portali utilizzano script che, se cliccati in determinate aree (ad esempio, il lettore video), attivano una serie di reindirizzamenti che portano infine all'installazione di un'estensione dannosa per Chrome.

Nelle campagne analizzate, è stato rilevato che questi siti caricavano script esterni tramite servizi di rotazione degli annunci come SmartAdTags. A seconda della campagna attiva, l'utente poteva ritrovarsi a visualizzare un falso messaggio "Accetta | Annulla" accompagnato da un audio in spagnolo che lo invitava a "installare l'estensione per chiudere questo sito", con un link diretto al Chrome Web Store.

Le estensioni distribuite in questo modo possono seguire due strategie . Alcune sono estensioni legittime che sono state modificate per includere codice dannoso aggiuntivo nei file JavaScript (ad esempio, jQuery con funzioni iniettate e offuscate). Altre vengono create da zero per scopi puramente malevoli, il che le rende più facili da analizzare ma altrettanto pericolose.

Una volta installate, queste estensioni spesso manipolano il traffico web : caricano script remoti su ogni pagina visitata, inseriscono iframe con contenuti di terze parti e aprono pop-up o nuove schede piene di pubblicità. In alcuni casi, impediscono persino la gestione delle proprie estensioni reindirizzando l'utente quando tenta di accedere a chrome://extensions/.

Tra le estensioni analizzate in queste campagne figuravano nomi come Cursor-Bubble, Kaplivnos, JumperGame, ogleen, Meta-crawExtension, Kabelshuk, Tyagelosik, Share on Rabbit e iklear, tutte dotate di file .crx firmati e hash noti. Sebbene molte non siano più disponibili, questo è un buon esempio di come un semplice clic su un sito web di streaming possa portare all'installazione di un'estensione pericolosa nel browser.

Come capire se un'estensione potrebbe essere dannosa prima di installarla

Il primo filtro dovrebbe sempre essere lo sviluppatore . Prima di installare un'estensione, verifica chi l'ha creata, se ha un sito web ufficiale, un profilo GitHub o altri progetti riconosciuti. Gli strumenti di aziende note o sviluppatori affermati sono generalmente più affidabili di quelli di autori sconosciuti senza referenze.

Un altro punto fondamentale è leggere attentamente la pagina dell'estensione nel Chrome Web Store: prestate attenzione alla qualità della descrizione, alla presenza di evidenti errori di ortografia, testo generico copiato, immagini che non hanno nulla a che fare con la funzione dell'estensione o informazioni molto scarse sull'azienda o sull'assistenza. Tutto ciò dovrebbe far scattare un campanello d'allarme.

Anche le recensioni e il numero di utenti forniscono indizi . Un elevato numero di installazioni con recensioni contrastanti è solitamente un segnale migliore rispetto a un'estensione con pochi download e valutazioni sospettosamente perfette o molto recenti. È inoltre consigliabile leggere le recensioni negative, dove gli utenti spesso segnalano cambiamenti strani, annunci pubblicitari inaspettati o comportamenti invasivi.

Ma il fattore più importante sono le autorizzazioni richieste dall'estensione . Prima dell'installazione, Chrome mostra un riepilogo delle richieste di accesso. Se, ad esempio, un'estensione che dovrebbe solo cambiare il colore del cursore chiede l'autorizzazione a leggere e modificare tutti i tuoi dati su tutti i siti web, accedere all'intera cronologia di navigazione o comunicare con applicazioni esterne, è meglio rifiutarla e cercare un'alternativa più rispettosa.

Se l'estensione è già installata, puoi esaminarne le autorizzazioni in dettaglio dal menu di Chrome, andando su Altri strumenti > Estensioni > Dettagli. Qui potrai vedere a quali parti del browser accede, se può essere eseguita in modalità di navigazione in incognito, su quali siti è autorizzata a funzionare e se l'esecuzione in background è abilitata.

Come utilizzare la nuova funzionalità di Chrome per rilevare le estensioni rimosse dal malware

Google ha aggiunto una funzionalità che ti avvisa quando un'estensione che hai installato viene rimossa dal Chrome Web Store. In genere, Google rimuove un'estensione perché ha riscontrato che viola le sue norme, contiene malware o si comporta in modo dannoso.

Questo strumento è integrato nel Controllo di sicurezza all'interno della sezione Privacy e sicurezza delle impostazioni di Chrome. Facendo clic su "Controlla ora", il programma analizza le estensioni installate e mostra quali sono state rimosse dallo store, indicando, se disponibile, il motivo generale della rimozione.

Questa funzione non rimuove automaticamente le estensioni contrassegnate , ma ti avvisa in modo molto chiaro di disinstallarle il prima possibile. Se preferisci mantenere alcune estensioni a tuo rischio e pericolo, Chrome di solito ti offre la possibilità di conservarle, anche se questa opzione dovrebbe essere scelta solo se hai ottimi motivi per fidarti di esse.

Sebbene inizialmente fosse previsto per versioni recenti come Chrome 117 , è possibile abilitarlo anche in versioni precedenti tramite flag sperimentali. Tuttavia, per la maggior parte degli utenti, è consigliabile attendere una versione stabile e utilizzarlo direttamente dal menu delle impostazioni.

Come rimuovere le estensioni dannose (visibili e nascoste) in Chrome

Rimuovere le estensioni sospette è piuttosto semplice . Apri Chrome, fai clic sui tre puntini nell'angolo in alto a destra, vai su Altri strumenti e poi su Estensioni. Verrà visualizzato un elenco completo dei componenti aggiuntivi installati, sia attivi che disattivati.

Per disinstallare un'estensione visibile , individuala nell'elenco e fai clic su Rimuovi. Chrome ti chiederà conferma; una volta confermata, verrà rimossa completamente. Se desideri disabilitarla solo temporaneamente, puoi utilizzare l'interruttore accanto al nome di ciascuna estensione: disattivandolo (in grigio) interromperai l'esecuzione dell'estensione, ma rimarrà installata nel caso in cui decidessi di riattivarla in seguito.

Il problema si presenta con le estensioni nascoste o quelle che non compaiono nel menu delle estensioni, una caratteristica tipica dei browser hijacker e dei componenti aggiuntivi particolarmente aggressivi. In questi casi, è necessario accedere alle cartelle interne in cui Chrome memorizza i dati dell'utente ed eliminare manualmente le directory delle estensioni problematiche.

Su Windows, con Chrome chiuso, apri Esplora file e vai al percorso del tuo profilo Chrome (ad esempio, C:\Documenti e impostazioni\nomeutente\Impostazioni locali\Dati applicazioni\Google\Chrome\Dati utente\Default) e accedi alla cartella Estensioni. Vedrai molte sottocartelle con nomi composti da sequenze di lettere.

Ogni sottocartella corrisponde a un'estensione installata . Per identificarla, apri la cartella della versione all'interno di ogni sottocartella e individua il file manifest.json. Aprendolo con un editor di testo, vedrai il campo short_name o name, che di solito indica il nome dell'estensione. Quando identifichi un'estensione dannosa, torna alla cartella principale delle estensioni ed elimina completamente la relativa sottocartella.

Su macOS, la procedura è simile, ma il percorso cambia . Con il Finder aperto, usa la scorciatoia Comando + Maiusc + G, incolla il percorso ~/Library/Application Support/Google/Chrome/Default/Extensions e premi Invio. Da lì, ripeti la stessa procedura: apri le cartelle denominate "lettera", accedi alla sottocartella "versione", controlla il file manifest.json ed elimina tutte le voci corrispondenti a estensioni potenzialmente pericolose.

Dopo aver eliminato le cartelle sospette su Windows o Mac , riapri Chrome e controlla nuovamente la pagina delle estensioni. A questo punto, è consigliabile eseguire una scansione con un programma antivirus aggiornato e, se il browser continua a comportarsi in modo anomalo, valuta la possibilità di ripristinare le sue impostazioni.

Come rimuovere il malware e ripristinare Chrome passo dopo passo

Se sospetti che il problema vada oltre una semplice estensione e che sul tuo computer possa essere presente un malware, il primo passo è eseguire una scansione completa con una soluzione di sicurezza affidabile. Sia Windows che macOS offrono strumenti in grado di rilevare software dannoso nascosto dietro il browser.

Su Windows, è fondamentale avere Windows Defender (o qualsiasi altro buon antivirus) attivo e aggiornato. Una scansione completa del sistema può individuare programmi indesiderati che potrebbero essere arrivati ​​tramite estensioni dannose, downloader dubbi o siti web ingannevoli.

Su macOS, è consigliabile utilizzare anche un software di sicurezza specializzato , soprattutto se si notano instabilità del sistema, la comparsa di processi sconosciuti o continui reindirizzamenti del browser. Sebbene l'ecosistema Apple sia generalmente più controllato, non è immune a questo tipo di minacce.

Una volta rimosse eventuali infezioni, il passo successivo è pulire Chrome . Per farlo, puoi ripristinare le impostazioni del browser ai valori predefiniti. Vai su Impostazioni, scorri fino in fondo e apri Impostazioni avanzate. Su Windows, nella sezione Ripristina impostazioni e pulizia, troverai l'opzione Ripristina impostazioni. Su Mac, nella sezione Ripristina impostazioni, troverai l'opzione Ripristina le impostazioni predefinite originali.

Il ripristino di Chrome rimuove le modifiche indesiderate apportate da estensioni o malware: ripristina la pagina iniziale, il motore di ricerca predefinito e le schede della home page, e disabilita tutte le estensioni. I segnalibri, la cronologia e le password vengono generalmente conservati, ma è sempre consigliabile rivedere il riepilogo fornito da Chrome prima di confermare.

Dopo il ripristino, rivedi l'elenco delle estensioni e abilita solo quelle di cui ti fidi completamente. Se hai dubbi su qualcuna di esse, è meglio disinstallarla e trovare un'alternativa più sicura. Già che ci sei, aggiorna anche il sistema operativo e le principali applicazioni, poiché molte minacce sfruttano le vulnerabilità di sicurezza delle versioni precedenti.

Le migliori pratiche per utilizzare le estensioni di Chrome in modo sicuro

La prima regola d'oro è installare solo le estensioni di cui si ha realmente bisogno . Meno estensioni si hanno, minore sarà la superficie di attacco. È molto facile accumulare componenti aggiuntivi che non si utilizzano più, ma che hanno comunque accesso ai dati ogni volta che si naviga.

Eseguite un controllo periodico delle vostre estensioni : andate su chrome://extensions e rimuovete tutto ciò che non utilizzate o di cui non ricordate di aver installato. Le estensioni che non offrono un valore aggiunto evidente servono solo a consumare risorse, rallentare il browser e aumentare il rischio per la vostra sicurezza.

Prima di installare qualsiasi nuovo componente aggiuntivo, esamina attentamente le autorizzazioni richieste. Se richiede l'accesso a dati o funzioni non correlati al suo scopo dichiarato, consideralo un campanello d'allarme. Esistono sempre alternative più rispettose della privacy.

Non fidarti ciecamente del Chrome Web Store, che a suo dire filtra tutto . Sebbene Google analizzi le estensioni prima di pubblicarle, l'esperienza dimostra che molte minacce riescono a eludere i controlli e rimangono attive per mesi o anni, anche in presenza di recensioni degli utenti che segnalano problemi. Considera lo store ufficiale come un filtro di base, non come una garanzia assoluta.

Infine, navigate con buon senso : diffidate dei siti web che vi obbligano a installare estensioni per visualizzare i contenuti, dei messaggi allarmistici su presunti virus che si possono eliminare solo scaricando un componente aggiuntivo e delle promesse che sembrano troppo belle per essere vere. Quando si tratta di estensioni, una sana dose di scetticismo è la vostra migliore alleata.

Prestare attenzione alle estensioni che si installano, monitorarne le autorizzazioni e sfruttare le protezioni di Chrome è il modo più efficace per tenere a bada le estensioni dannose. Combinando queste buone pratiche con un antivirus affidabile e scansioni regolari del browser, si ridurranno al minimo le probabilità che un componente aggiuntivo apparentemente innocuo si trasformi in una porta d'accesso per malware o furti di dati.