Attenti a questa estensione per Chrome: spia le ricerche fingendosi Perplexity AI

Microsoft ha scoperto un'estensione per Chrome che si spacciava per Perplexity AI e intercettava di nascosto le ricerche degli utenti, reindirizzandole verso server controllati dagli aggressori prima di restituire i risultati reali. Il nome scelto, "Search for perplexity ai", suonava abbastanza credibile da ingannare chi cercava l'omonimo motore di ricerca basato su intelligenza artificiale. Google l'ha rimossa dal Chrome Web Store dopo la segnalazione, ma chi l'ha già installata deve eliminarla manualmente.

Il team Microsoft Threat Intelligence ha ricostruito il meccanismo in un post pubblicato a inizio settimana. L'estensione, arrivata alla versione 2.2 e costruita su Manifest V3, chiedeva permessi molto più ampi di quanto servisse a un semplice motore di ricerca aggiuntivo.

Un dirottamento mascherato da normale ricerca

La chiave dell'inganno stava nella funzione "chrome_settings_overrides", usata per impostarsi come motore di ricerca predefinito del browser. Da quel momento, ogni query digitata nella omnibox veniva instradata verso perplexity-ai.online, un dominio "typosquattato" (che sfrutta, quindi, un errore di battitura o una somiglianza con un dominio reale) costruito per assomigliare a quello legittimo perplexity.ai, prima di essere inoltrata ai risultati reali.

A gestire l'intercettazione ci pensavano i permessi declarativeNetRequest, che consentivano all'estensione di monitorare e modificare il traffico di rete in tempo reale, comprese le suggestion box mentre l'utente digitava. Microsoft ha individuato dietro il dominio fasullo un server Node.js che registrava ogni richiesta in arrivo, metodo, URL e header HTTP completi, insieme a una configurazione nginx con certificato SSL Let's Encrypt pensata per rendere la connessione apparentemente sicura.

Non risultano tracce di furto di password o credenziali di accesso. Il rischio riguarda piuttosto la profilazione: con settimane di query intercettate, chi gestiva l'infrastruttura poteva ricostruire con precisione interessi e abitudini online di ogni utente, un dato che si presta a usi che vanno dalla pubblicità mirata a scenari più opachi.

Per chi vuole verificare se il proprio browser è coinvolto, Microsoft ha pubblicato l'identificativo univoco dell'estensione, flkebkiofojicogddingbdmcmkpbplcd, utile per rintracciarla anche se il nome visualizzato dovesse cambiare.

La rimozione richiede pochi passaggi: aprire chrome://extensions/, attivare la modalità sviluppatore in alto a destra, cercare l'estensione con quell'ID e cliccare su Rimuovi. Vale la pena controllare anche le impostazioni del motore di ricerca predefinito, perché un reset manuale può essere necessario pure dopo la disinstallazione.

L'episodio conferma che i controlli del Chrome Web Store, per quanto migliorati negli anni, restano aggirabili da chi sa costruire un clone credibile di un servizio popolare. Microsoft consiglia di rivedere periodicamente le estensioni installate, diffidare dei permessi troppo estesi rispetto alla funzione dichiarata e preferire sempre sviluppatori verificati, specie per strumenti legati all'intelligenza artificiale, oggi tra i bersagli preferiti di chi punta a intercettare grandi quantità di dati di navigazione.