Bay Area Labs reports that 37 of 60 OffiDocs-linked Chrome extensions (2.3 million installs) encode and send visited URLs to linked servers; it also…

Bay Area Labs has linked 60 Chrome extensions with 2.3 million installs to a single Estonian company. According to its report, the OffiDocs Chrome extensions include office editors, PDF tools and a free VPN. Furthermore, 37 of them "hex-encode/obfuscate and exfiltrate full URLs" that users visit. A Sprawling Extension Network The extensions sit under four publisher accounts: officeonlinesystems, RedcoolMedia, ApkOnline android online and RunApps.

A New Browser Privacy Warning Raises Questions About Data Collection, Redirect Manipulation, and VPN Trust A new cybersecurity investigation by Bay Area Labs has raised concerns about the privacy practices of Chrome extensions linked to OffiDocs. According to a report shared by Cybersecurity News Everyday on October 27, 2026, researchers identified 37 potentially problematic extensions among 60 OffiDocs-linked Chrome extensions, collectively associated with approximately 2.3 million installations.

OffiDocs runs 60 Chrome extensions with 2.3M installs across 4 publisher accounts, mostly everyday office tools. 37 of them hex-encode and exfiltrate every full URL you visit, with no explicit consent, under privacy policies that allow sharing with business partners and other third parties.

Run desktop apps and work with any file using your web browser and mobile applications

In this post, we will discuss some free spreadsheets with no login-required services that you can use - Retable, Tablesmith, Paradigm, Offidocs, etc.

In this post, we will discuss some free spreadsheets with no login-required services that you can use - Retable, Tablesmith, Paradigm, Offidocs, etc.

In this post, we will discuss some free spreadsheets with no login-required services that you can use - Retable, Tablesmith, Paradigm, Offidocs, etc.

width="2489" height="1400" sizes="auto, (max-width: 2489px) 100vw, 2489px">Eine Sicherheitslücke in beliebten Chrome-Erweiterungen führt dazu, dass der Browserverlauf der Anwender offengelegt ist. 2lttgamingroom – shutterstock.com Ein Sicherheitsforscher mit dem Pseudonym „Q Continuum“ hat 287 Chrome-Erweiterungen entdeckt, die den Browserverlauf exfiltrieren. „Die Akteure hinter den Lecks sind vielfältig: Similarweb, Curly Doggo, Offidocs, chinesische Akteure, viele kleinere, unbekannte Datenbroker sowie ein mysteriöses Unternehmen namens ‚Big Star Labs‘, das offenbar ein Ableger von Similarweb ist“, heißt es im Forschungsbericht. Für die Analyse entwickelte der Forscher eine automatisierte Pipeline, die Chrome-Instanzen startete, Erweiterungen installierte, eine vordefinierte Reihe von Websites besuchte und ausgehende Kommunikationen erfasste. Er warnte, dass eine solche Datenerfassung Unternehmensspionage ermöglichen könnte, indem sie interne Unternehmens-URLs offenlegt, auf die Mitarbeiter zugreifen. In Fällen, in denen Erweiterungen auch Cookies erfassen, könnten sie das Sammeln von Anmeldedaten erleichtern, indem sie Angreifern Details zu aktiven Websitzungen liefern. ## VPNs, Produktivitäts-Tools und Shopping-Add-ons Die Untersuchung identifizierte zahlreiche weit verbreitete Erweiterungen mit riskantem Verhalten in Kategorien wie VPN-/Proxy-Dienste, Coupon-Finder, PDF-Tools und Browser-Dienstprogramme. Viele davon haben Hunderttausende oder Millionen von Nutzern. Bei einigen dieser Erweiterungen handelt es sich um Pop-up-Blocker für Chrome. Darunter Stylish, BlockSite block Websites, Stay Focused und SimilarWeb. Website Traffic und SEO Checker, WOT: Website Security und Safety Checker, Smarty, Video Ad Blocker Plus für YouTube, Knowee AI und CrxMouse: Mouse Gestures. Dem Forscher zufolge forderten mehrere der Erweiterungen umfassende Host-Berechtigungen (webseitenübergreifend) an. Dadurch konnten sie Navigationsereignisse und Seitenaktivitäten domänenübergreifend beobachten. „Wenn eine Erweiterung nur den Seitentitel liest oder CSS einfügt, sollte ihr Netzwerk-Fußabdruck unabhängig von der Länge der von uns besuchten URL gleich bleiben“, erklärt er die Logik hinter ihrer Kennzeichnung in seinem Beitrag. „Wenn der ausgehende Datenverkehr linear mit der URL-Länge wächst, ist die Wahrscheinlichkeit hoch, dass die Erweiterung die URL selbst (oder die gesamte HTTP-Anfrage) an einen Remote-Server sendet“, ergänzt der Experte. ## Verschlüsselte Exfiltration erschwerte die Erkennung Zudem weist er darauf hin, dass mehrere dieser Erweiterungen versuchten, die Art der übertragenen Daten zu verbergen. Demnach wurden ausgehende Nutzdaten häufig vor der Übertragung verschlüsselt oder codiert, was eine automatisierte Überprüfung verhinderte. „Die manuelle Überprüfung des erfassten Datenverkehrs ergab eine Vielzahl von Verschleierungstechniken: Base64, ROT47, LZ-String-Komprimierung und vollständige AES-256-Verschlüsselung, verpackt in RSA-OAEP“, erläutert der Forscher in einem weiteren Bericht. „Die Entschlüsselung dieser Nutzdaten ergab, dass rohe Google-Such-URLs, Seitenverweise, Benutzer-IDs und Zeitstempel an ein Netzwerk aus proprietären Domains und Endpunkten von Cloud-Anbietern gesendet wurden. Die Testumgebung des Forschers führte Chrome in einem Docker-Container aus, sodass jede Erweiterung isoliert und konsistent analysiert werden konnte. Der Security-Spezialist räumte allerdings ein, dass wahrscheinlich nicht alle Erweiterungen, die den Browserverlauf preisgeben, böswillige Absichten haben. Er stellte zudem klar, dass einige Fehlalarme manuell aus den Protokollen der von den automatisierten Scannern markierten Erweiterungen entfernt werden mussten. „Einige der Erweiterungen sind möglicherweise harmlos und müssen den Browserverlauf für Funktionen wie beispielsweise ‚Avast Online Security & Privacy‘ erfassen.“ Der Bericht zur Offenlegung enthielt eine Liste mit URLs aus dem Chrome Web Store und den Akteuren hinter diesen Erweiterungen als Referenz. (jm)

An estimated 37 million worldwide installations of a clutch of leaky Chrome extensions are transmitting users’ browsing histories to external servers. According to findings by an independent security researcher using the pseudonym “Q Continuum,” a total of 287 extensions sent data that closely matched the URLs visited during simulated browsing sessions. “The actors behind the leaks span the spectrum: Similarweb, Curly Doggo, Offidocs, Chinese actors, many smaller obscure data-brokers, and a mysterious ‘Big Star Labs’ that appears to be an extended arm of Similarweb,” the researcher said. To conduct the analysis, the researcher built an automated pipeline that launched Chrome instances, installed extensions, visited a predefined set of websites, and captured outbound communications. The researcher warned that such data collection could enable corporate espionage by exposing internal company URLs accessed by employees, and in cases where extensions also obtain cookies, could facilitate credential harvesting by providing attackers with details of active web sessions. ## Extensions include VPNs, productivity tools, and shopping add-ons The research identified numerous widely distributed extensions with risky behavior across categories such as VPN/proxy services, coupon finders, PDF tools, and browser utilities. Many of these have hundreds of thousands or millions of users. A few of these extensions include Pop up blocker for Chrome, Stylish, BlockSite block Websites, Stay Focused, SimilarWeb – Website traffic and SEO Checker, WOT: Website Security and Safety Checker, Smarty, Video Ad Blocker Plus for YouTube, Knowee AI, and CrxMouse: Mouse Gestures. According to the researcher, several of the extensions requested broad host permissions (cross-websites). This allowed them to observe navigation events and page activity across domains. “If an extension is just reading the page title or injecting CSS, its network footprint should stay flat regardless of how long the URL we visit is,” the researcher said, explaining the logic behind their flagging. “If the outbound traffic grows linearly with the URL length, we have a high probability that the extension is shipping the URL itself (or the entire HTTP request) to a remote server.” ## Encrypted exfiltration made detection difficult The researcher said in a blog post that several of these extensions attempted to hide the nature of transmitted data. Outbound payloads were frequently encrypted or encoded before transmission, preventing automated inspection. “Manual inspection of the captured traffic revealed a variety of obfuscation schemes: base64, ROT47, LZ-String compression, and full AES-256 encryption wrapped in RSA-OAEP,” the researcher said in a separate report published on the findings. “Decoding these payloads showed raw Google search URLs, page referrers, user IDs, and timestamps being sent to a network of proprietary domains and cloud-provider endpoints. The researcher’s testing environment ran Chrome inside a Docker container, allowing each extension to be isolated and analyzed consistently. “We should note that probably not all of the browser history leaking extensions have malicious intent,” the researcher said, clarifying they had to manually remove a few false positives from the logs of extensions tagged by their automated scanner. “Some of the extensions might be benign and may need to collect browser history for functionality such as ‘Avast Online Security & Privacy,’ for example.” The disclosure included a list of Chrome Web Store URLs and actors behind these extensions for reference.

推定3,700万個のグローバルでインストールされたChrome拡張機能が、ユーザーの閲覧履歴を外部サーバーに送信している。 人気のあるChrome拡張機能のセキュリティ脆弱性により、ユーザーの閲覧履歴が公開されている。 2lttgamingroom – shutterstock.com 「Q Continuum」というペンネームのセキュリティ研究者が、閲覧履歴を流出させる287個のChrome拡張機能を発見した。「漏洩の背後にいる行為者は多様である：Similarweb、Curly Doggo、Offidocs、中国の行為者、多くの小規模で不明なデータブローカー、そしてSimilarwebの子会社であるとみられる「Big Star Labs」という謎の企業」と調査報告書に記載されている。 この分析のために、研究者は自動パイプラインを開発し、Chromeインスタンスを起動し、拡張機能をインストールし、あらかじめ定義されたウェブサイトのセットにアクセスし、外向きの通信をキャプチャした。 彼は、このようなデータ収集が従業員がアクセスする内部企業URLを公開することによって企業スパイ行為を可能にする可能性があることを警告した。拡張機能がクッキーもキャプチャする場合、攻撃者にアクティブなウェブセッションの詳細を提供することで、ログイン認証情報の収集を容易にする可能性がある。 この調査では、VPN/プロキシサービス、クーポン検索、PDFツール、ブラウザユーティリティなどのカテゴリで危険な動作をしている多くの広く使用されている拡張機能が特定された。これらの多くは数十万人または数百万人のユーザーを持っている。 これらの拡張機能のいくつかはChromeのポップアップブロッカーである。その中にはStylish、BlockSite block Websites、Stay Focused、SimilarWebがある。ウェブサイトトラフィックとSEOチェッカー、WOT：ウェブサイトセキュリティおよびセーフティチェッカー、Smarty、YouTube用Video Ad Blocker Plus、Knowee AI、CrxMouse：マウスジェスチャー。 研究者によると、複数の拡張機能が包括的なホスト権限（ウェブサイト間）をリクエストしました。これにより、彼らはナビゲーションイベントとページアクティビティをドメイン間で監視できました。「拡張機能がページのタイトルを読み込んだり、CSSを挿入したりするだけの場合、ネットワークフットプリントは、当社が訪問したURLの長さに関係なく同じである必要があります」と彼は、彼の投稿でこの論理を説明しています。 「外向きのデータトラフィックがURL長に線形で増加する場合、拡張機能がURL自体（またはHTTP要求全体）をリモートサーバーに送信している可能性が高い」と専門家は付け加えた。 暗号化された流出が検出を困難にした さらに、これらの拡張機能の多くが送信されるデータのタイプを隠そうとしたと彼は指摘しています。それに応じて、発信ペイロードは転送前に暗号化またはエンコードされることが多く、自動検証を防止していました。 「キャプチャされたトラフィックの手動検査により、様々な難読化技術が明らかになった：Base64、ROT47、LZ文字列圧縮、およびRSA-OAEPにパックされた完全なAES-256暗号化」と研究者は別の報告書で説明しています。「これらのペイロードを復号化すると、生のGoogleサーチURL、ページリファラ、ユーザーID、およびタイムスタンプが、独自のドメインとクラウドプロバイダーのエンドポイントのネットワークに送信されていることが明らかになりました。 研究者のテスト環境はDockerコンテナでChromeを実行し、各拡張機能を独立してかつ一貫性をもって分析することができました。 ただし、セキュリティ専門家は、閲覧履歴を公開しているすべての拡張機能が悪意のある意図を持っているとは限らないことを認めました。彼はまた、自動スキャナによってマークされた拡張機能のログから手動で誤検知を削除する必要があったことを明確にしました。「一部の拡張機能は無害である可能性があり、「Avast Online Security & Privacy」などの機能のために閲覧履歴をキャプチャする必要があります。」 開示報告書には、参照としてのChrome Webストアから参考資料へのURLと、これらの拡張機能の背後にある行為者のリストが含まれていた。（jm） 翻訳元:

数百の人気アドオンが暗号化されたURLサイズのペイロードを使用して、検索クエリ、リファラー、タイムスタンプを外部サーバに送信しており、一部はデータブローカーと不明な運営者に関連している。 世界中で推定3700万件のインストール数を持つ多くのChromeの拡張機能が、ユーザーの閲覧履歴を外部サーバに送信しています。 「Q Continuum」というペンネームを使用する独立系セキュリティ研究者の発見によれば、合計287個の拡張機能が、シミュレートされたブラウジングセッション中にアクセスされたURLと密接に一致するデータを送信していました。 「情報漏洩の背後にいる行為者は様々です：Similarweb、Curly Doggo、Offidocs、中国の行為者、多くの小さな不明瞭なデータブローカー、そしてSimilarwebの延長部門のようなに見える謎の『Big Star Labs』です」と研究者は述べています。分析を実施するために、研究者はChromeインスタンスを起動し、拡張機能をインストールし、事前に定義されたウェブサイトのセットにアクセスし、アウトバウンド通信をキャプチャする自動化されたパイプラインを構築しました。 研究者は、このようなデータ収集により、従業員がアクセスする内部企業URLを公開することで企業スパイ活動が可能になる可能性があり、拡張機能がクッキーも取得する場合、攻撃者にアクティブなウェブセッションの詳細を提供することで認証情報の収集を容易にする可能性があると警告しました。 拡張機能には、VPN、生産性ツール、ショッピングアドオンが含まれる この調査では、VPN/プロキシサービス、クーポン検索ツール、PDFツール、ブラウザユーティリティなどのカテゴリーにおいて、危険な動作をする広く配布されている多くの拡張機能が特定されました。これらの多くは数十万から数百万のユーザーを持っています。 これらの拡張機能の中には、Chrome用ポップアップブロッカー、Stylish、BlockSite block Websites、Stay Focused、SimilarWeb – Website traffic and SEO Checker、WOT: Website Security and Safety Checker、Smarty、Video Ad Blocker Plus for YouTube、Knowee AI、CrxMouse: Mouse Gesturesなどが含まれます。 研究者によれば、複数の拡張機能は広いホストの権限（ウェブサイト間）をリクエストしていました。これにより、ドメイン全体でナビゲーションイベントとページアクティビティを監視することができました。「拡張機能がページタイトルを読むだけであれば、またはCSSを注入しているだけであれば、訪問するURLの長さに関わらず、ネットワークフットプリントはフラットのままであるべきです」と、研究者はフラグを立てるしかないロジックを説明しています。 「アウトバウンドトラフィックがURLの長さに対して線形に増加する場合、拡張機能がURL自身（またはHTTPリクエスト全体）をリモートサーバに送信している可能性が高いです。」 暗号化された流出により検出が困難になった 研究者はブログ記事の中で、これらの拡張機能の複数が送信されたデータの性質を隠そうとしたと述べました。アウトバウンドペイロードは、自動検査を防ぐために、送信前に頻繁に暗号化またはエンコードされていました。 「キャプチャされたトラフィックの手動検査は、多様な難読化スキームを明らかにしました：base64、ROT47、LZ-String圧縮、およびRSA-OAEPでラップされた完全なAES-256暗号化」と、研究者は調査結果に関して公開された別のレポートの中で述べています。「これらのペイロードをデコードすると、生のGoogle検索URL、ページリファラー、ユーザーID、タイムスタンプが所有者ドメインおよびクラウドプロバイダーのエンドポイントのネットワークに送信されていることが明らかになりました。 研究者のテスト環境ではDockerコンテナ内でChromeを実行し、各拡張機能を一貫して分離および分析することができました。 「おそらく、ブラウザーの履歴をリークするすべての拡張機能に悪意があるとは限らないことに注意すべきです」と、研究者は、自動スキャナーでタグ付けされた拡張機能のログからいくつかの誤検知を手動で削除する必要があったと明らしています。「一部の拡張機能は良性であり、『Avast Online Security & Privacy』などの機能のためにブラウザー履歴を収集する必要があるかもしれません。」 公開には、これらの拡張機能の背後にあるChrome ウェブストアのURLと行為者のリストが参考用に含まれていました。 翻訳元:

An estimated 37 million worldwide installations of a clutch of leaky Chrome extensions are transmitting users’ browsing histories to external servers. According to findings by an independent security researcher using the pseudonym “Q Continuum,” a total of 287 extensions sent data that closely matched the URLs visited during simulated browsing sessions. “The actors behind the leaks span the spectrum: Similarweb, Curly Doggo, Offidocs, Chinese actors, many smaller obscure data-brokers, and a mysterious ‘Big Star Labs’ that appears to be an extended arm of Similarweb,” the researcher said. To conduct the analysis, the researcher built an automated pipeline that launched Chrome instances, installed extensions, visited a predefined set of websites, and captured outbound communications. The researcher warned that such data collection could enable corporate espionage by exposing internal company URLs accessed by employees, and in cases where extensions also obtain cookies, could facilitate credential harvesting by providing attackers with details of active web sessions. ## Extensions include VPNs, productivity tools, and shopping add-ons The research identified numerous widely distributed extensions with risky behavior across categories such as VPN/proxy services, coupon finders, PDF tools, and browser utilities. Many of these have hundreds of thousands or millions of users. A few of these extensions include Pop up blocker for Chrome, Stylish, BlockSite block Websites, Stay Focused, SimilarWeb – Website traffic and SEO Checker, WOT: Website Security and Safety Checker, Smarty, Video Ad Blocker Plus for YouTube, Knowee AI, and CrxMouse: Mouse Gestures. According to the researcher, several of the extensions requested broad host permissions (cross-websites). This allowed them to observe navigation events and page activity across domains. “If an extension is just reading the page title or injecting CSS, its network footprint should stay flat regardless of how long the URL we visit is,” the researcher said, explaining the logic behind their flagging. “If the outbound traffic grows linearly with the URL length, we have a high probability that the extension is shipping the URL itself (or the entire HTTP request) to a remote server.” ## Encrypted exfiltration made detection difficult The researcher said in a blog post that several of these extensions attempted to hide the nature of transmitted data. Outbound payloads were frequently encrypted or encoded before transmission, preventing automated inspection. “Manual inspection of the captured traffic revealed a variety of obfuscation schemes: base64, ROT47, LZ-String compression, and full AES-256 encryption wrapped in RSA-OAEP,” the researcher said in a separate report published on the findings. “Decoding these payloads showed raw Google search URLs, page referrers, user IDs, and timestamps being sent to a network of proprietary domains and cloud-provider endpoints. The researcher’s testing environment ran Chrome inside a Docker container, allowing each extension to be isolated and analyzed consistently. “We should note that probably not all of the browser history leaking extensions have malicious intent,” the researcher said, clarifying they had to manually remove a few false positives from the logs of extensions tagged by their automated scanner. “Some of the extensions might be benign and may need to collect browser history for functionality such as ‘Avast Online Security & Privacy,’ for example.” The disclosure included a list of Chrome Web Store URLs and actors behind these extensions for reference.

Edit PDF to add annotations, add images, signatures, text to edit your PDF online using your browser!