%22%3E%3Cstop offset=%220%22 stop-color=%22%23D4A017%22 stop-opacity=%220.30%22/%3E%3Cstop offset=%220.55%22 stop-color=%22%238A6E2F%22 stop-opacity=%220.10%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/linearGradient%3E%3CradialGradient id=%22r%22 cx=%220.82%22 cy=%220.22%22 r=%220.7%22%3E%3Cstop offset=%220%22 stop-color=%22%23E8C040%22 stop-opacity=%220.22%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/radialGradient%3E%3C/defs%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%230A0A0F%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%23111118%22 opacity=%220.6%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23g)%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23r)%22/%3E%3Cg transform=%22translate(840 150) scale(3.0)%22 fill=%22%23E8C040%22 opacity=%220.17%22%3E%3Cpath d=%22M50 8 L84 20 V46 C84 70 68 86 50 92 C32 86 16 70 16 46 V20 Z%22/%3E%3C/g%3E%3Crect x=%2280%22 y=%22270%22 width=%2264%22 height=%226%22 rx=%223%22 fill=%22%23D4A017%22/%3E%3Ctext x=%2280%22 y=%2292%22 font-family=%22ui-monospace, 'SFMono-Regular', monospace%22 font-size=%2226%22 letter-spacing=%223%22 fill=%22%238484A0%22%3EDROKIO%3C/text%3E%3Ctext x=%2280%22 y=%22356%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EChrome’s Adblock for YouTube%3C/text%3E%3Ctext x=%2280%22 y=%22420%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3ECarried a Dormant Script%3C/text%3E%3Ctext x=%2280%22 y=%22484%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EBomb—10 Million Users Were th…%3C/text%3E%3Crect x=%220.5%22 y=%220.5%22 width=%221199%22 height=%22629%22 fill=%22none%22 stroke=%22%232A2A3A%22 stroke-width=%221%22/%3E%3C/svg%3E)
Basado en información de The Hacker News →
Introducción
Una extensión de bloqueo de anuncios para YouTube, con millones de usuarios y una insignia de “Destacado” en la tienda oficial, cargaba silenciosamente la capacidad de ejecutar JavaScript arbitrario en cualquier sitio. Hasta ahora, nadie había activado ese poder oculto, pero el hecho de que exista revela una vulnerabilidad sistémica en la cadena de confianza de las extensiones.
El problema
The Hacker News reportó que investigadores de la firma Island analizaron una extensión de Chrome llamada Adblock for YouTube (ID: cmedhionkhpnakcndndgjdbohmhepckk), que cuenta con más de 10 millones de instalaciones y luce la insignia “Featured” en la Chrome Web Store. El análisis descubrió que la extensión incluía la capacidad de ejecutar código JavaScript arbitrario en el navegador, una funcionalidad que permanecía “durmiente” —sin activarse— pero lista para ser aprovechada en cualquier momento.
Consecuencias
Si un atacante lograra tomar control del servidor de actualización o de la propia extensión, podría haber inyectado código malicioso en tiempo real a más de diez millones de usuarios. Esto habilitaría robo de credenciales, secuestro de sesiones, minería de criptomonedas o incluso la instalación de puertas traseras persistentes, todo sin que el usuario percibiera nada anómalo.
Causas
La causa raíz, según la información pública disponible, es la falta de controles robustos en el pipeline de publicación y actualización de extensiones. La capacidad de inyectar scripts arbitrarios estaba incluida en el código base de la extensión, pero desactivada (durmiente), lo que sugiere que los mecanismos de revisión de Google no detectaron esta funcionalidad latente durante el proceso de aprobación o en las actualizaciones posteriores.