Jakarta — Peneliti keamanan siber dari LayerX menemukan sedikitnya 17 extension berbahaya yang beredar di browser Google Chrome, Mozilla Firefox, dan Microsoft Edge. Ekstensi tersebut diketahui mampu memantau aktivitas pengguna di internet hingga memasang backdoor untuk mencuri akses.
Temuan ini bukan pertama kalinya. LayerX menyebut kasus tersebut merupakan kelanjutan dari GhostPoster, sebuah kampanye berbahaya yang pertama kali diungkap oleh Koi Security pada pertengahan Desember 2025.
Dalam temuan sebelumnya, peneliti menemukan kelompok ekstensi berbeda dengan total unduhan mencapai 50.000 kali. Ekstensi-ekstensi tersebut memiliki pola serupa, yakni memantau perilaku pengguna serta menginstal backdoor secara diam-diam.
Dikutip dari TechRadar, berikut daftar lengkap ekstensi berbahaya yang ditemukan:
-
Google Translate in Right Click
-
Translate Selected Text with Google
-
Ads Block Ultimate
-
Floating Player – PiP Mode
-
Convert Everything
-
Youtube Download
-
One Key Translate
-
AdBlocker
-
Save Image to Pinterest on Right Click
-
Instagram Downloader
-
RSS Feed
-
Cool Cursor
-
Full Page Screenshot
-
Amazon Price History
-
Color Enhancer
-
Translate Selected Text with Right Click
-
Page Screenshot Clipper
Dalam kelompok terbaru ini, sejumlah ekstensi tercatat pertama kali diunggah pada 2020. Hal tersebut menunjukkan bahwa pengguna telah berpotensi terpapar malware melalui repositori resmi browser selama bertahun-tahun.
Berdasarkan temuan LayerX, Microsoft Edge menjadi platform tempat sebagian besar ekstensi tersebut pertama kali muncul, sebelum kemudian menyebar ke Chrome dan Firefox.
Beberapa ekstensi menyembunyikan kode JavaScript berbahaya di dalam file logo berformat PNG. Kode ini berfungsi sebagai instruksi untuk mengunduh payload utama dari server jarak jauh.
Untuk menghindari deteksi, pengunduhan payload utama hanya dilakukan sekitar 10 persen dari waktu. Payload tersebut memiliki beragam fungsi, termasuk menyusupkan tautan afiliasi ke situs e-commerce besar, yang berpotensi mencuri pendapatan pembuat konten.
Selain itu, payload juga menyisipkan pelacakan Google Analytics ke setiap halaman yang dikunjungi pengguna serta menghapus header keamanan dari seluruh respons HTTP.
Fungsi berbahaya lainnya mencakup kemampuan melewati CAPTCHA melalui tiga mekanisme berbeda, serta menyisipkan iframe tak terlihat yang kerap digunakan untuk penipuan iklan, penipuan klik, dan pelacakan tersembunyi. Iframe tersebut akan menghapus dirinya sendiri setelah sekitar 15 detik.
Seluruh ekstensi yang teridentifikasi kini telah dihapus dari repositori resmi masing-masing browser. Meski demikian, pengguna tetap disarankan untuk segera menghapus ekstensi tersebut secara manual dari browser yang digunakan.
