Una extensión de Chrome que había sido retirada de la tienda por acusaciones de robo de conversaciones de herramientas de IA vuelve a aparecer en el ecosistema del navegador. De acuerdo con análisis de Netskope Threat Labs, el software no solo regresó a la circulación, sino que además ha mostrado señales de actividad maliciosa distinta en equipos empresariales.
El nombre con el que se publicita es “AI Sidebar with DeepSeek, ChatGPT, Claude and more”, y se presenta como un asistente de IA para Chrome. Sin embargo, antes de su retiro, fue señalada por recopilar contenido de conversaciones y enviarlo a dominios externos. Ahora, el enfoque parece desplazarse: la extensión implementa un mecanismo de enlaces de afiliados que se activa con actualizaciones y desinstalaciones.
Por qué se retiró la extensión de Chrome
Según la información reportada, la extensión fue retirada del Chrome Web Store en enero de 2026 tras denuncias vinculadas al hurto de conversaciones. Netskope indica que el problema fue identificado previamente: OX Security la señaló en diciembre de 2025 por scraping de conversaciones en servicios como ChatGPT y DeepSeek, seguido del envío de esos datos a dominios externos.
Antes de desaparecer de la tienda, la aplicación llegó a acumular más de 300.000 instalaciones y obtuvo una valoración media de 4,6 estrellas en el Chrome Web Store. A la vez, su presencia no se limitó al entorno doméstico: también impactaba navegadores corporativos.
Regreso a la tienda y reaparición en entornos empresariales
La “buena noticia” duró poco. Netskope afirma que, hacia agosto de 2026, la extensión de nuevo está activa en el Chrome Web Store y que los endpoints empresariales están recibiendo actualizaciones. En versiones más recientes, la firma no encontró indicios del mismo comportamiento exactamente igual al de antes, pero detectó un cambio relevante en el tipo de carga y en la forma de monetización.
El retorno no se limita a la página pública del store. De acuerdo con los reportes, la distribución se habría reanudado también a través de la infraestructura de distribución de CRX asociada al ecosistema de Google, lo que facilita que vuelva a alcanzar dispositivos gestionados.
Versiones 1.7.2.0 y 1.7.3.0: de “limpieza” aparente a un giro
Los hallazgos describen una secuencia de versiones. La 1.7.2.0, distribuida entre el 20 y el 31 de julio de 2026, llegó con funcionalidad aparentemente “limpia”. La lectura de Netskope es que esta etapa pudo estar pensada para generar un historial de actualizaciones que transmita confianza.
Dos semanas después, aparece la 1.7.3.0. En este punto, la investigación resume el cambio como una incorporación “quirúrgica”: una adición de 21 líneas en un único archivo de script. Aunque el ajuste es pequeño, el efecto es significativo porque habilita un circuito de enlaces y comisiones.
Cómo funciona la monetización: enlaces de afiliados al actualizar
El mecanismo descrito por Netskope utiliza eventos del navegador relacionados con actualizaciones. Cuando Chrome informa que la extensión ha sido actualizada, se activa un componente que abre un enlace de afiliado en una nueva pestaña en primer plano.
El enlace, según el análisis, pasa primero por un acortador de URL y, posteriormente, redirige hacia una plataforma de generación de videos con IA que participa en un programa de afiliados público. Es decir: la extensión no solo “regresa”, sino que dirige tráfico y genera ingresos cada vez que se produce una actualización.
Un detalle clave que menciona Netskope es que los comentarios del código contemplan el disparo en el evento de actualización (no en la instalación inicial). Este diseño tiene una consecuencia directa: cada futura versión puede activar una comisión nueva, en lugar de un pago único al principio.
Qué gana el atacante con este diseño
Desde el punto de vista de seguridad, el interés es doble. Por un lado, se mantiene un canal de monetización recurrente. Por otro, el cambio se puede activar incluso cuando el usuario o el administrador “solo está haciendo mantenimiento” del navegador, es decir, cuando el equipo recibe actualizaciones programadas.
Desinstalación con truco: también busca comisiones al borrar
La investigación también describe una ruta adicional que apunta a la desinstalación. Netskope señala un comportamiento particular de Chrome: cuando se registran múltiples URL para el evento de eliminación, solo se dispara la más reciente.
Los operadores aprovechan esa particularidad. Tras cargar el flujo legítimo, reemplazan el código con una URL distinta unos segundos después. El objetivo es que los usuarios que deciden eliminar la extensión generen igualmente un referido en el “camino de salida”.
En términos prácticos, esto significa que incluso una acción defensiva del usuario —desinstalar— podría activar el mecanismo de afiliados. Aunque el daño principal asociado al robo de conversaciones ya no se presente de la misma forma, el componente de tráfico sigue siendo problemático.
Atribución y señales en el propio código
Netskope vincula la autoría del paquete con una entidad llamada Extchange.com, que figura en los propios archivos del complemento como desarrollador y controlador de datos. El dominio habría sido registrado en febrero de 2024 y, según el reporte, no ofrece información pública de titularidad verificable.
Además, la ficha en el Chrome Web Store muestra un nombre de desarrollador que no correspondería con la atribución detectada: el listing indicaría un rótulo asociado a “DeepSeek AI”. Esta diferencia entre lo publicado y lo que aparece en los archivos internos es una alerta común en investigaciones de este tipo.
Un punto importante para el contexto de empresas: Netskope indica que la firma detectó y bloqueó la versión 1.7.3.0 cuando llegó a endpoints mediante el CDN de Google. La clasificación que se asignó fue Trojan.GenericFCA.Script.37952.
Qué hacer si tu organización usa la extensión de Chrome
La recomendación de Netskope es clara: eliminar la extensión. Para organizaciones que gestionan navegadores, el consejo práctico es actuar como si la extensión no fuera confiable, dado que el canal de distribución ya demostró capacidad de volver a estar activa.
Checklist de respuesta rápida
- Revisa el Chrome Web Store y la lista de extensiones instaladas en equipos de la organización.
- Desinstala “AI Sidebar with DeepSeek, ChatGPT, Claude and more” si aparece en algún perfil o máquina.
- Verifica si hay políticas de administración que reinstalen automáticamente extensiones; ajusta reglas de despliegue.
- Monitorea eventos de navegación y actividad inusual tras actualizaciones de navegador o cambios de extensiones.
- Informa al equipo de seguridad y registra el incidente como posible abuso de canal de extensiones.
Por qué el caso importa, incluso si el robo “cambia”
Netskope plantea un matiz relevante: aunque en esta fase el foco esté en la monetización con afiliados, el hecho de que la carga maliciosa haya cambiado muestra flexibilidad. En otras palabras, el mismo canal podría emplearse en el futuro para introducir contenido con mayor impacto.
Así, el valor del caso no es solo el qué ocurrió antes, sino el patrón: la extensión de Chrome se retira, se adapta, y regresa. Para equipos de seguridad, esto refuerza la necesidad de controles continuos sobre extensiones de terceros, no solo una validación inicial.
Conclusión
La historia de esta extensión vuelve a poner el foco en un punto sensible del navegador: las extensiones pueden servir como puerta de entrada a prácticas engañosas y a circuitos de monetización. Con un retorno al Chrome Web Store y actualizaciones dirigidas a endpoints empresariales, el caso muestra cómo un complemento puede evolucionar desde presunto robo de conversaciones hacia redirecciones con enlaces de afiliados.
Si ves la extensión de Chrome “AI Sidebar with DeepSeek, ChatGPT, Claude and more” en tus entornos, la recomendación es actuar cuanto antes: desinstala, revisa políticas de instalación y mantén el monitoreo activo. La mejor defensa suele ser la eliminación preventiva y la revisión de mecanismos de despliegue.
