Socket 的研究员 John Tuckner 发布新报告称，319 款 Chrome 扩展把用户的搜索请求经追踪服务器转发，再导向必应（Bing）和雅虎（Yahoo），借此赚取搜索广告收入。这些扩展合计报告安装量约 1340 万。据 BleepingComputer 报道，这份报告延续了 Tuckner 在 2025 年 4 月的发现，涉及的扩展和用户数量都明显增加。
据 BleepingComputer 报道，Tuckner 在 2025 年 4 月曾发现 57 款扩展，涉及约 600 万用户。这次新增 264 款扩展，另有约 870 万用户。
Tuckner 在报告中说：「这些扩展由少数有组织的运营者制作，思路一致：悄悄接管浏览器的默认搜索引擎，把每一次查询都经由可疑的代理服务器转发，再以联盟合作伙伴 ID 向雅虎或必应收取推荐分成。」
报告还按集群梳理了近期活跃的扩展：
这些扩展伪装成 PDF 转换器、说明书查找、安全搜索和 AI 搜索工具，实际上大多只是让搜索请求在多个网站之间跳转，最后落到必应或雅虎。
据 Socket 说明，它们托管在 Chrome 网上应用店，但处于「不公开」状态，在商店里搜不到，主要靠网页上的可疑广告推广。
Tuckner 解释，许多扩展几乎不需要代码：Chrome 自带的 chrome_settings_overrides 设置就允许扩展替换默认搜索引擎。报告分析的一个例子只有清单文件和图标，没有后台脚本、内容脚本，也没有申请任何权限。
目前这些扩展主要靠搜索分成赚钱，但用户的搜索会先经过运营者控制的服务器。Tuckner 警告，最终的跳转目标可以随时改变，而且无需更新扩展，可能转向钓鱼页面或恶意下载。
报告以 Predator Search 扩展为例：对同样的 6 次搜索，经其代理服务器后落在了 4 个不同的去向。Tuckner 写道：「扩展本身从未改变，是代理在每次搜索进来时决定去向。」
报告发布时，多数扩展已从 Chrome 网上应用店移除，但新的扩展仍在不断出现。BleepingComputer 已就 Socket 的发现联系谷歌置评，截至发稿未获回复。
报道建议，用户应卸载 Socket 报告中列出的扩展，对系统做一次完整的杀毒扫描，并避免从不明发布者处下载不必要的工具和浏览器扩展。
