Falsa Extensão da Perplexity AI no Chrome Interceptava Buscas de Usuários

O ecossistema de ferramentas de Inteligência Artificial continua sendo um dos principais chamarizes utilizados por cibercriminosos para atrair vítimas. Recentemente, a equipe de pesquisa do Microsoft Defender identificou e interceptou uma extensão maliciosa para o Google Chrome que se passava pelo popular buscador de IA Perplexity AI. O principal objetivo do software malicioso era monitorar, registrar e desviar silenciosamente as pesquisas e históricos digitados pelos usuários.

Batizada de “Search for perplexity ai” (ID do desenvolvedor: flkebkiofojicogddingbdmcmkpbplcd), a extensão utilizava uma técnica clássica de engenharia social conhecida como typosquatting. Ela operava sob o domínio falso perplexity-ai[.]online, imitando o endereço oficial da plataforma para enganar tanto os usuários quanto os mecanismos básicos de verificação de segurança.

Como Funcionava o Roubo de Dados em Tempo Real?

Assim que era instalada, a extensão modificava as configurações do navegador, definindo-se como o mecanismo de busca padrão do Chrome. A partir desse momento, a espionagem acontecia em duas frentes altamente invasivas:

1. Interceptação de Consultas Concluídas: Sempre que o usuário realizava uma busca, a requisição era enviada primeiramente para o servidor do atacante (no domínio falso), onde o termo pesquisado era registrado junto com o endereço IP, cabeçalhos do navegador e o user agent.
2. Monitoramento da Barra de Endereços (Omnibox): O ponto mais crítico era o redirecionamento da URL de sugestões dinâmicas (suggest_url). Isso permitia que a extensão capturasse cada caractere digitado na barra de endereços em tempo real, mesmo antes de o usuário pressionar a tecla “Enter”.

Camuflagem Inteligente: Para evitar que a vítima desconfiasse da fraude, após registrar os dados roubados no primeiro acesso, o servidor do criminoso aplicava uma regra de redirecionamento que enviava o usuário para um mecanismo de busca legítimo — como a própria Perplexity original, o Google ou o Bing. Dessa forma, os resultados apareciam normalmente na tela.

Evidências de Ação Deliberada

De acordo com os analistas da Microsoft, o uso abusivo da família de permissões declarativeNetRequest do Chrome comprova que a coleta de dados era intencional e estruturada, e não um efeito colateral técnico. A extensão continha, inclusive, regras de redirecionamento prontas (mas desativadas) para serem aplicadas contra o Google e o Bing a qualquer momento. Além disso, havia suporte oculto para rodar códigos em WebAssembly futuramente, algo completamente desnecessário para uma ferramenta de busca comum.

Embora não tenham sido encontradas evidências diretas de roubo de senhas, o volume de acesso e o nível de telemetria coletados estão muito além do que qualquer extensão legítima de pesquisa necessitaria.

O Perigo das Ferramentas com Branding de IA

Este incidente faz parte de uma tendência alarmante de golpes cibernéticos surfando na onda da inteligência artificial. Campanhas recentes monitoradas pela Microsoft revelaram ondas de extensões falsas projetadas para clonar ou roubar dados de chats do ChatGPT e do DeepSeek, acumulando mais de 900.000 instalações distribuídas em mais de 20.000 redes corporativas globais.

A diferença crucial neste novo caso é o alvo: em vez de apenas capturar o histórico das suas conversas com assistentes virtuais, os criminosos usaram a própria arquitetura de extensões do Chrome para monitorar a navegação geral da vítima na internet.

Como se Proteger e Limpar o Navegador

Após a denúncia responsável feita pela Microsoft, o Google removeu imediatamente a extensão da Chrome Web Store. No entanto, se você já havia feito o download antes da remoção, o complemento continuará ativo no seu computador até ser desinstalado manualmente.

Se você desconfia que instalou a extensão “Search for perplexity ai”, siga estes passos imediatamente:

• Remova o plugin: Acesse chrome://extensions/ no seu navegador e exclua completamente o plugin suspeito.
• Restaure a busca padrão: Vá em chrome://settings/search e certifique-se de redefinir o seu mecanismo de busca padrão de preferência (como Google, Bing ou DuckDuckGo).
• Diretrizes para Empresas: Para administradores de TI, a recomendação é implementar políticas de grupo (GPO) rigorosas que permitam apenas o uso de extensões previamente homologadas e monitorar tráfego incomum direcionado a domínios desconhecidos.

Até o momento, os operadores por trás do ataque não foram identificados e a Microsoft não divulgou o número exato de usuários afetados antes do bloqueio da ferramenta.