319 Ekstensi Chrome Bajak Pencarian, 13,4 Juta Instalasi: Cara Cek dan Hapus

BIT NUSANTARA — Sebanyak 319 ekstensi Chrome ditandai sebagai pembajak mesin pencari oleh firma keamanan Socket. Totalnya telah terpasang 13,4 juta kali selama sepuluh tahun terakhir. Ekstensi itu mengalihkan setiap pencarian pengguna lewat server yang dikendalikan operator sebelum hasil Bing atau Yahoo ditampilkan.

Angka 13,4 juta bersifat kumulatif. GBHackers News menegaskan bahwa angka tersebut mencakup rentang satu dekade dan tidak dapat dibaca sebagai jumlah orang yang terdampak saat ini. Aktivitas ini diperkirakan berlangsung sejak setidaknya 2016.

Temuan terbaru memperluas riset April 2025 tentang 57 ekstensi dengan 6 juta pengguna. Peneliti Socket, John Tuckner, menambahkan 264 ekstensi baru dengan 8,7 juta pengguna. Dari keseluruhan temuan, 200 ekstensi dengan sekitar 5,7 juta pengguna dikaitkan dengan operator yang dapat diidentifikasi. Sisanya, 119 ekstensi dengan sekitar 7,8 juta pengguna, diterbitkan operator tak dikenal.

Ekstensi-ekstensi itu menyamar sebagai konverter PDF, pencari manual, alat pencarian aman, dan pencarian berbasis AI. Menurut Socket, ekstensi tersebut berstatus tidak terdaftar sehingga tidak muncul di hasil pencarian toko, dan disebarkan lewat iklan mencurigakan di situs web. Digital Trends menyebut penyebarannya melalui iklan pop-up di situs-situs kecil.

Secara teknis, banyak ekstensi hanya memanfaatkan pengaturan bawaan Chrome bernama chrome_settings_overrides untuk mengganti penyedia pencarian default. Salah satu contoh, Safe Game Search, hanya berisi berkas manifest dan tiga ikon. Ekstensi semacam itu tidak memerlukan service worker latar belakang maupun content script. Karena intersepsi terjadi di level konfigurasi peramban, pemeriksaan izin saja tidak bisa memastikan apakah sebuah ekstensi mengekspos aktivitas penelusuran.

Motif utamanya adalah uang. Operator mengumpulkan pembayaran referral dari Yahoo dan Bing lewat ID mitra syndication. Parameter hspart dan hsimp milik Yahoo serta nilai PC dan PTAG milik Bing ditambahkan pada lalu lintas pencarian.

Klaster terbesar yang teridentifikasi bernama SecuryBrowse, berisi 58 ekstensi dengan 4,9 juta pengguna. Klaster ini mempromosikan ekstensi bertema keamanan seperti Fire Shield, Securify, dan WatchTower. Klaster yang paling aktif belakangan ini, Bing-Search, terdiri dari 37 ekstensi dengan 2,2 juta pengguna dan sering dipromosikan lewat iklan Bidbrain.

Peneliti tidak mengamati pengalihan berbahaya dalam temuan ini. Meski begitu, Tuckner memperingatkan tujuan akhir pencarian dapat diubah kapan saja tanpa pembaruan ekstensi, termasuk ke situs phishing atau unduhan berbahaya. Dalam pengujiannya, ekstensi Predator Search mengalihkan enam pencarian identik ke empat tujuan: langsung ke Yahoo dengan tag kemitraan, halaman searchlio.net, rute lewat searchtosearch.com ke mcftink.com, dan halaman error Cloudflare. Perilaku itu, menurut GBHackers News, menunjukkan fleksibilitas perutean di sisi server, bukan bukti pengiriman malware.

Tuckner menjelaskan mekanismenya. "Ekstensinya tidak pernah berubah; proxy yang memilih setiap tujuan saat pencarian masuk," kata John Tuckner. Karena setiap pencarian melewati server operator, mereka dapat melihat riwayat pencarian pengguna yang kerap dikaitkan dengan pengenal unik.

Saat laporan diterbitkan, sebagian besar ekstensi tersebut telah dihapus dari toko, tetapi yang baru terus bermunculan. Socket menilai penindakan belum menyelesaikan masalah. "Chrome Web Store belum mengimbanginya. Bahkan jika ekstensi diturunkan, domain dan umpan baru segera bermunculan," kata Socket. Cybernews menyatakan telah menghubungi Google untuk meminta tanggapan.

Bahan yang kami rujuk tidak memuat panduan resmi langkah demi langkah dari Socket maupun Google untuk menghapus ekstensi ini. Namun, dari sifat temuannya, pengguna dapat membuka halaman pengelola ekstensi di Chrome, memeriksa setiap ekstensi yang terpasang, dan menghapus yang tidak dikenal atau tidak pernah dipasang dengan sengaja. Pengguna juga dapat memeriksa pengaturan mesin pencari bawaan peramban dan mengembalikannya ke pilihan yang dikenal bila tampak berubah. Ekstensi bertema konverter PDF, pencarian aman, dan keamanan yang dipasang setelah mengeklik iklan patut dicurigai, sebab pola itulah yang digunakan dalam kampanye ini.