Ferramenta para bloquear anúncios no YouTube pode expor dados no navegador

Uma análise de uma popular extensão do Google Chrome usada para bloquear anúncios no YouTube revelou a presença de uma capacidade que poderia permitir a execução arbitrária de código JavaScript em páginas acessadas pelo usuário.

Segundo a Island, a extensão, chamada Adblock for YouTube, identificada pelo ID cmedhionkhpnakcndndgjdbohmhepckk, soma mais de 10 milhões de instalações e exibe o selo Featured na Chrome Web Store. O caso chama atenção não apenas pelo alcance da extensão, mas também pelo tipo de permissão normalmente concedida a bloqueadores de anúncios, que precisam inspecionar requisições, alterar páginas, ocultar elementos e adaptar seu comportamento conforme os sistemas de publicidade mudam.

A descrição da extensão afirma que ela permite impedir a exibição de elementos de páginas, como anúncios, incluindo propagandas preroll, na plataforma de vídeos e em sites externos que carregam conteúdo do YouTube. A funcionalidade prometida é entregue, mas a análise identificou que o complemento também possui componentes capazes de executar JavaScript arbitrário.

De acordo com os pesquisadores Oleg Zaytsev e Shachar Gritzman, da Island, a extensão contém os elementos arquiteturais necessários para execução arbitrária de JavaScript em qualquer site, bastando uma mudança de configuração no lado do servidor. Essa ativação poderia ocorrer sem atualização da extensão, sem uma nova revisão da loja e sem qualquer sinal visível para o usuário.

Na prática, esse tipo de capacidade poderia permitir a leitura de páginas, coleta de dados e execução de ações em nome do usuário dentro de contas pessoais, aplicações corporativas, painéis administrativos e outras sessões sensíveis abertas no navegador. A Island ressalta, porém, que não há evidência de que uma carga maliciosa tenha sido distribuída aos usuários por esse mecanismo.

O alerta está na presença da capacidade em si, especialmente quando combinada a vínculos com outras extensões de bloqueio de anúncios que foram removidas da Chrome Web Store por malware. Entre as extensões relacionadas retiradas da loja estão Adblock for Chrome, identificada pelo ID onomjaelhagjjojbkcafidnepbfkpnee; Adblock for You, com o ID ogcaehilgakehloljjmajoempaflmdci; e AdBlock Suite, identificada pelo ID gekoepiplklhniacchbbgbhilidiojmb.

A Adblock for YouTube está disponível na Chrome Web Store desde 2014. Inicialmente, funcionava como um bloqueador básico de anúncios para o YouTube, mas passou por mudança de propriedade quatro anos depois. Versões anteriores da extensão foram encontradas com um kit de desenvolvimento de software de injeção de anúncios chamado Unistream SDK, removido em junho de 2024.

O elemento que permaneceu constante, segundo a análise, foi a presença de caminhos de injeção de scripts controlados remotamente desde fevereiro de 2025. A extensão inclui uma biblioteca de scriptlets, pequenas funções JavaScript usadas em bloqueadores de anúncios para manipular elementos de páginas. Nesse modelo, o servidor seleciona quais scriptlets serão executados e com quais argumentos.

Um desses scriptlets, chamado trusted-create-element, cria um elemento HTML na página. Caso o servidor envie “script” como tipo de elemento e forneça JavaScript como conteúdo, esse elemento pode ser executado no contexto da página e acessar informações sensíveis. A correção publicada no artigo esclarece que o trusted-create-element não foi criado pelo autor da extensão, mas faz parte da biblioteca open source de scriptlets da AdGuard, usada também por outros bloqueadores de anúncios.

O risco apontado pela Island não está, portanto, apenas no scriptlet isolado, mas no caminho controlado pelo servidor que poderia alcançá-lo após a instalação da extensão, sem exigir atualização e sem passar por nova revisão da Chrome Web Store. Segundo os pesquisadores, no momento da análise, o trusted-create-element não estava ativo na resposta do servidor. A capacidade estava dormente, não ausente.

Esse detalhe é importante porque extensões de navegador operam dentro de um modelo de confiança amplo. Um bloqueador de anúncios costuma solicitar acesso extenso a páginas e tráfego do navegador para cumprir sua função. Quando esse acesso é combinado com uma rota de configuração remota capaz de acionar injeção de scripts, o impacto potencial deixa de ser limitado ao YouTube e passa a envolver qualquer sessão web acessada pelo usuário.

A análise também identificou que, apesar do nome da extensão sugerir foco no YouTube, ela é executada em todos os sites visitados pelo usuário no Chrome. Há uma verificação que tenta ativar o comportamento apenas quando a URL atual contém “youtube.com”. No entanto, essa validação não confirma o hostname, a origem do frame nem o contexto de um player incorporado.

Na prática, a checagem apenas verifica se a sequência “youtube.com” aparece em qualquer parte da URL. Isso abre margem para contornos simples, como inserir o termo em parâmetros de consulta ou caminhos de outros sites. Exemplos desse padrão incluem páginas com URLs contendo parâmetros como ref=youtube.com, buscas com q=youtube.com ou redirecionamentos internos com from=youtube.com.

Para a Island, a preocupação não está em uma única linha suspeita de código, mas na combinação de fatores: uma extensão com grande volume de instalações, acesso a todos os sites, caminho de injeção controlado remotamente, histórico de infraestrutura de injeção de anúncios, mudança relevante de propriedade e base de código, além de extensões relacionadas removidas da Chrome Web Store por malware.

O caso também surge em um momento de maior atenção sobre extensões de navegador. A Unit 42, da Palo Alto Networks, informou ter detectado 18 extensões que imitavam marcas de consumo com o objetivo de monetização por marketing de afiliados. Após a instalação, essas extensões abriam um domínio .shop em uma nova aba, que redirecionava para outro site. A página alegava que uma ação adicional era necessária, citava problemas de incompatibilidade e induzia os usuários a instalar um navegador voltado para jogos.

Após a publicação do relatório, Mathias Rochus, fundador da AdBlock Ltd, informou que a extensão nunca usou essa capacidade e nunca a usará. Ele citou a avaliação de 4,4 estrelas da extensão, baseada em centenas de milhares de análises, e afirmou que a empresa prepara uma atualização para a Chrome Web Store com duas mudanças.

A primeira alteração prevista é validar o hostname do YouTube, em vez de simplesmente procurar a string “youtube.com” em qualquer parte da URL. A segunda é impedir que a configuração enviada pelo servidor consiga criar ou injetar um script executável na página. A atualização ainda precisa passar pela revisão do Google antes de chegar aos usuários.

Rochus também afirmou que os scriptlets citados no relatório, incluindo o trusted-create-element, não foram escritos pela empresa. Segundo ele, esses componentes pertencem à biblioteca open source da AdGuard, usada por bloqueadores de anúncios amplamente adotados. A extensão, nesse modelo, envia configurações que selecionam qual scriptlet incorporado será executado.

Essa explicação está alinhada ao modelo técnico descrito pela Island, mas não elimina o ponto central da pesquisa: a configuração remota da extensão poderia alcançar um scriptlet capaz de criar scripts executáveis, e é exatamente essa possibilidade que a atualização planejada pretende fechar.

Para usuários e empresas, o caso reforça a necessidade de tratar extensões de navegador como componentes de risco. Mesmo ferramentas populares, bem avaliadas e listadas em lojas oficiais podem representar exposição significativa quando recebem permissões amplas e executam lógica definida remotamente. Em ambientes corporativos, a recomendação é manter inventário de extensões instaladas, aplicar listas de permissão, restringir complementos não essenciais e revisar permissões com atenção especial a extensões capazes de ler e modificar dados em todos os sites.