Cửa hàng Chrome Web Store vốn không xa lạ với những tranh cãi; giờ đây, nó lại thu hút thêm sự chú ý từ các nhà nghiên cứu của Symantec khi họ phát hiện thêm nhiều tiện ích mở rộng độc hại trên cửa hàng Chrome chính thức, gây nguy hại đến bảo mật người dùng, bất chấp quy trình kiểm duyệt nghiêm ngặt của Google. Các tiện ích mở rộng này có tổng cộng hơn 100.000 người dùng và sử dụng các thủ đoạn như truy cập trái phép vào clipboard, đánh cắp dữ liệu và sử dụng cơ sở hạ tầng điều khiển từ xa.
Các mối đe dọa được xác định bao gồm các thủ đoạn kiếm tiền bất chính như chiếm đoạt công cụ tìm kiếm, cũng như các hoạt động rủi ro cao, bao gồm thực thi mã từ xa và chiếm đoạt phiên làm việc. Để giúp bảo vệ người dùng cuối, các nhà nghiên cứu đã báo cáo các tiện ích mở rộng này cho Google và khuyến nghị loại bỏ hoàn toàn chúng khỏi cửa hàng Chrome Web Store và thiết bị của người dùng.
Một trong những tiện ích mở rộng độc hại được xác định có tên là Good Tab, hiện vẫn còn trên Chrome Web Store. Tiện ích mở rộng này sử dụng iframe HTTP không an toàn để cấp cho một tên miền từ xa toàn quyền đọc và ghi vào clipboard của người dùng mà không cần thông báo. Lỗ hổng này cho phép kẻ tấn công đánh cắp dữ liệu nhạy cảm, chẳng hạn như mật khẩu hoặc hoán đổi địa chỉ ví tiền điện tử trong các giao dịch.
Một tiện ích mở rộng khác có tên là Children Protection, hiện dường như không còn khả dụng, hoạt động như một khung điều khiển và quản trị hoàn chỉnh, sử dụng thuật toán tạo tên miền để chống lại việc máy chủ bị sập. Tiện ích mở rộng này có khả năng thu thập cookie trình duyệt để chiếm đoạt phiên và thực thi mã JavaScript tùy ý được đẩy từ máy chủ từ xa.
Một tiện ích mở rộng gây rắc rối khác là DPS Websafe, dường như cũng đã bị xóa. Tiện ích mở rộng này mạo danh thương hiệu bằng cách sử dụng biểu tượng của Adblock Plus để đánh lừa người dùng, đồng thời chiếm đoạt các truy vấn tìm kiếm và theo dõi hoạt động của người dùng. Ngoài ra còn có một tiện ích mở rộng tên là Stock Informer chứa lỗ hổng kịch bản chéo trang nghiêm trọng cho phép kẻ tấn công từ xa thực thi mã do thiếu kiểm tra nguồn gốc trên các sự kiện nhắn tin. Tiện ích mở rộng này cũng vẫn còn khả dụng.
Người dùng các tiện ích mở rộng đã đề cập được khuyến cáo mạnh mẽ nên xóa chúng để giảm thiểu rủi ro về quyền riêng tư và tài chính. Phát hiện này càng củng cố thêm quan điểm rằng bạn không thể tin tưởng các tiện ích mở rộng trong Chrome Web Store ngay cả khi chúng trông có vẻ đã được xác minh. Cách tốt nhất là không sử dụng bất kỳ tiện ích mở rộng nào, nhưng nếu bắt buộc phải sử dụng, chỉ sử dụng những tiện ích mà bạn hoàn toàn tin tưởng.