McAfee publicó un informe el lunes 29 de agosto que detalla cinco extensiones del malware.
¿Cuáles son estas extensiones?: «Netflix Party», «FlipShope – Price Tracker Extension», «Full Page Screenshot Capture – Screenshotting» y «AutoBuy Flash Sales». Cada uno de ellos tuvo más de 20,000 descargas, con más de 1,400,000 descargas combinadas.
Cada extensión escucha los cambios de página en el navegador, y cada vez que el navega a una nueva página, la extensión envía la URL de la página a un servidor remoto para verificar si se puede inyectar el código de ingresos del afiliado. Muchos sitios (incluido How-To Geek) incluyen código de afiliado en enlaces a sitios web de compras, lo que a veces les proporciona una pequeña parte de los ingresos. Sin embargo, la mayoría de las extensiones ofensivas no están relacionadas con la compra de artículos en absoluto, y están inyectando el código para todas las páginas posibles.
McAfee también encontró evidencia de que algunas de las extensiones esperan 15 días después de su instalación para comenzar a inyectar código de afiliado, presumiblemente para evitar la detección inicial.
La extensión más popular de Netflix Party, que tenía más de 800,000 s, se ha eliminado de Chrome Web Store. El resto de ellos todavía están activos.
