Extensao de navegador maliciosa: o vetor que passa pelo firewall

Por que a extensão de navegador é o ponto cego da segurança corporativa

O firewall inspeciona o tráfego que entra e sai da rede. O antivírus inspeciona arquivos gravados em disco. O EDR inspeciona processos e comportamento no sistema operacional. Uma extensão de navegador maliciosa não se encaixa bem em nenhuma dessas três categorias: ela roda dentro de um processo legítimo e assinado (chrome.exe, msedge.exe), se comunica por HTTPS com destinos que muitas vezes têm boa reputação, e não precisa gravar nada suspeito no disco para cumprir seu objetivo. Para a maior parte da pilha de segurança tradicional, ela simplesmente não existe.

Esse é o motivo pelo qual o vetor cresceu tanto nos últimos anos. O atacante não precisa quebrar o perímetro, escalar privilégio no Windows ou driblar o MFA. Ele precisa apenas convencer um usuário a clicar em "Adicionar ao Chrome" — ou, em cenários mais sofisticados, comprar uma extensão popular já instalada em milhares de máquinas e publicar uma atualização maliciosa que se distribui sozinha, silenciosamente, porque os navegadores atualizam extensões em segundo plano por padrão.

O agravante é que o navegador deixou de ser um aplicativo entre outros. Em uma empresa que usa Microsoft 365, Google Workspace, ERP em nuvem, CRM e sistema financeiro via web, o navegador é o ambiente de trabalho. Comprometer o navegador é comprometer o acesso a praticamente tudo que a empresa opera — sem tocar em um único servidor.

O que uma extensão maliciosa realmente consegue fazer

Extensões operam sob um modelo de permissões declarado no manifesto. O problema é que as permissões mais úteis para o desenvolvedor são também as mais perigosas, e o usuário raramente entende o que está autorizando. Quando uma extensão pede acesso a "todos os dados em todos os sites", o que ela recebe na prática é a capacidade de ler e modificar o conteúdo de qualquer página aberta, incluindo o webmail, o internet banking e o painel administrativo do ERP.

As capacidades mais exploradas na prática são:

• Leitura de cookies de sessão — com a permissão cookies combinada a host_permissions amplas, a extensão exporta o cookie de autenticação para um servidor externo. O atacante importa esse cookie no próprio navegador e assume a sessão já autenticada, sem senha e sem passar pelo MFA, porque o segundo fator já foi validado quando a sessão foi criada.
• Injeção de script na página — content scripts modificam o DOM de qualquer site. Isso permite inserir campos falsos de login, alterar dados bancários exibidos em uma tela de pagamento ou capturar o que é digitado antes de o formulário ser enviado, mesmo com HTTPS ativo.
• Interceptação e reescrita de requisições — a API de rede das extensões permite observar e redirecionar tráfego do navegador. Uma extensão pode registrar cada URL visitada, montando um mapa completo dos sistemas internos e nomes de host da empresa.
• Acesso à área de transferência — captura de senhas coladas a partir de gerenciadores de credenciais e, em ataques financeiros, substituição de chaves PIX e dados de conta no momento da cópia.
• Persistência via atualização silenciosa — a extensão publicada limpa passa nas revisões da loja e só recebe o código malicioso semanas depois, em uma atualização automática distribuída para toda a base instalada.

O roubo de sessão é o ponto que mais surpreende gestores de TI: a empresa investiu em MFA, treinou os usuários contra phishing, e mesmo assim a conta foi acessada. O MFA protege o login. Ele não protege o token que sobra depois do login — e é exatamente esse token que a extensão exfiltra.

Como a extensão maliciosa entra na empresa

O caminho mais comum continua sendo a instalação voluntária pelo próprio colaborador. Ferramentas de conversão de PDF, corretores gramaticais, bloqueadores de anúncio, capturadores de tela, temas visuais e utilitários de produtividade são instalados por milhares de pessoas todos os dias sem qualquer avaliação de risco. O usuário não percebe que instalou software com privilégio de leitura sobre todo o seu ambiente de trabalho — para ele, foi apenas "um botãozinho no navegador".

O segundo caminho, mais preocupante, é a extensão legítima que muda de dono. Desenvolvedores independentes com bases instaladas relevantes recebem propostas de compra por valores atrativos, ou têm suas contas de publicação comprometidas por phishing direcionado. A extensão continua com o mesmo nome, o mesmo ícone e as mesmas avaliações positivas acumuladas ao longo de anos — mas o código passa a exfiltrar dados. Como a atualização é automática e transparente, não existe momento de decisão do usuário para interromper o processo.

Há ainda o vetor de instalação forçada por malware local. Um instalador comprometido baixado fora dos canais oficiais pode escrever chaves de registro que registram extensões no perfil do navegador ou alterar o atalho do Chrome para carregar código via linha de comando. Nesse cenário, o problema começa antes do navegador, mas se manifesta nele — e o navegador é onde o dano se materializa.

Bloquear por política sem travar o trabalho

A reação instintiva de muitos times de TI é proibir extensões por completo. Funciona no papel e falha na prática: o colaborador que precisa de uma ferramenta específica vai pedir exceção, usar o navegador pessoal, o celular ou uma máquina fora da gestão. A abordagem que sustenta no longo prazo é o modelo de lista de permissão com processo de aprovação rápido — restritivo por padrão, mas com um caminho legítimo e ágil para o que o negócio realmente precisa.

Chrome e Edge expõem esse controle por política de grupo (GPO/ADMX), por Intune ou pelo console de gestão de navegador na nuvem. As diretivas que sustentam o modelo são:

1. Bloqueio padrão de todas as extensões — a diretiva de controle de instalação recebe o valor de bloqueio para o coringa *. Nada instala sem aprovação explícita.
2. Lista de permissão por ID — cada extensão aprovada entra pelo seu identificador único de 32 caracteres, não pelo nome. O ID é imutável e não pode ser falsificado por uma extensão homônima na loja.
3. Instalação forçada do que é padrão corporativo — extensões que a empresa quer garantir em todas as máquinas (o cliente de gerenciador de senhas corporativo, por exemplo) são instaladas por política e não podem ser removidas pelo usuário.
4. Bloqueio por permissão perigosa — as políticas permitem barrar extensões que solicitem permissões específicas, como acesso a cookies, à área de transferência ou à API de rede, independentemente de qual extensão seja. É uma rede de segurança útil para o período de transição.
5. Restrição de origem — impedir instalação fora das lojas oficiais e desabilitar o modo desenvolvedor, que é a via clássica de carregamento de código não revisado.

A parte que costuma ser negligenciada é o processo humano ao redor da política. Uma lista de permissão sem um canal claro de solicitação vira gargalo em duas semanas e passa a ser contornada. O desenho que funciona prevê um formulário simples de pedido, um responsável designado, um prazo curto de resposta (idealmente o mesmo dia útil) e critérios objetivos de avaliação: quem é o publicador, quantos usuários tem, qual o histórico de atualizações, quais permissões pede e se existe alternativa já aprovada que resolva a mesma necessidade.

Detecção, revisão periódica e resposta a incidente

Política de bloqueio reduz a superfície, mas não elimina a necessidade de visibilidade. É preciso saber o que está instalado na frota hoje, incluindo o que entrou antes da política existir. O inventário de extensões pode ser coletado por script de gestão de endpoint lendo os perfis do navegador, ou pelo relatório nativo dos consoles de gestão de Chrome e Edge, que listam extensão, versão, permissões e número de máquinas afetadas.

Com o inventário em mãos, a revisão periódica — trimestral funciona bem para a maioria das empresas — deve olhar três coisas: extensões que não são mais usadas por ninguém e podem sair da lista de permissão; extensões que ganharam permissões novas em atualizações recentes, o que é o sinal mais direto de mudança de comportamento; e extensões cujo publicador mudou desde a aprovação original.

Na suspeita de comprometimento, a remoção da extensão não encerra o incidente. Se houve roubo de sessão, o atacante mantém acesso enquanto o token continuar válido. A resposta correta exige, na ordem: remover a extensão de toda a frota por política, revogar as sessões ativas do usuário no provedor de identidade (o que invalida os tokens já exfiltrados), forçar troca de senha, revisar os logs de acesso e as regras de encaminhamento de e-mail em busca de persistência, e só então liberar o retorno ao trabalho. Pular a revogação de sessão é o erro mais frequente e o que mais prolonga incidentes desse tipo.

Onde a Duk entra nesse controle

Estruturar governança de navegador é um trabalho que mistura política técnica, processo de aprovação e comunicação com os usuários — e as três partes precisam funcionar juntas para o resultado se sustentar. Com mais de 18 anos de mercado e 550+ empresas atendidas, a Duk Informática & Cloud implanta esse controle como parte da gestão de endpoint, desenhando a lista de permissão a partir do que cada área realmente usa, em vez de aplicar um bloqueio genérico que gera atrito no primeiro dia.

Como Microsoft Gold Partner, a Duk trabalha as diretivas de Chrome e Edge integradas ao Intune e ao Entra ID, o que permite unir o bloqueio de extensões às políticas de acesso condicional, ao inventário de dispositivos e à revogação centralizada de sessões — justamente a peça que fecha o ciclo de resposta a um roubo de token. O inventário de extensões da frota entra no monitoramento contínuo, com revisão periódica das permissões e alerta quando uma extensão aprovada muda de comportamento.

Se a sua empresa ainda não sabe quais extensões estão rodando nas máquinas dos colaboradores, esse é o ponto de partida — e costuma render as descobertas mais desconfortáveis do diagnóstico. Fale com a equipe da Duk para levantar o inventário atual e desenhar a política de extensões adequada ao seu ambiente, sem travar quem precisa trabalhar.