Chrome, attenzione ai falsi aggiornamenti: è malware

Un apparentemente innocuo avviso che invita ad aggiornare Google Chrome potrebbe nascondere qualcosa di molto più pericoloso. Negli ultimi giorni sono aumentate le segnalazioni di utenti che vedono comparire popup molto simili alle notifiche di aggiornamento del browser, ma che in realtà tentano di convincere la vittima a scaricare ed eseguire file potenzialmente dannosi. Il problema potrebbe essere collegato ad alcune estensioni compromesse e non riguarda esclusivamente Chrome.

Secondo quanto riportato da Android Authority, gli avvisi possono mostrare messaggi come “Critical Update Required” oppure comunicare semplicemente la disponibilità di un aggiornamento. Premendo il pulsante proposto, però, l’utente non avvia la normale procedura di aggiornamento del browser: può invece ritrovarsi con il download di file con estensione .vbs o .exe, che non dovrebbero essere eseguiti.

Il falso aggiornamento può partire da un’estensione

L’aspetto più interessante della vicenda riguarda il possibile meccanismo utilizzato per mostrare gli avvisi. In alcuni dei casi segnalati, infatti, il computer non risulterebbe necessariamente infettato in maniera tradizionale. A generare il popup sarebbe invece un’estensione del browser capace di recuperare contenuti o script da server esterni.

Questo può rendere più difficile individuare immediatamente il problema. Una scansione antivirus del sistema, per esempio, potrebbe non trovare un malware residente sul PC se il componente installato nel browser si limita a recuperare dinamicamente il contenuto malevolo e a presentarlo all’utente. Il passaggio decisivo avviene quando la vittima viene indotta a scaricare e soprattutto a eseguire il file proposto.

La tecnica dei falsi aggiornamenti del browser non è nuova. Campagne precedenti hanno utilizzato siti legittimi compromessi per mostrare avvisi fasulli e distribuire malware. Malwarebytes, per esempio, aveva documentato già nel 2023 una campagna nella quale un falso errore dell’aggiornamento automatico di Chrome portava al download di un archivio ZIP contenente un miner di criptovalute.

Le segnalazioni attuali sono particolarmente significative perché il comportamento è stato osservato anche su altri browser basati sul progetto Chromium. Android Authority cita casi riguardanti Brave e Opera, nei quali sarebbe comparso addirittura un messaggio che chiedeva di aggiornare Chrome. Una discrepanza che rappresenta, naturalmente, un importante campanello d’allarme.

Tra le estensioni associate dagli utenti a episodi di questo tipo viene citata “QuickLens – Search Screen with Google Lens”, successivamente rimossa dal Chrome Web Store. Segnalazioni più recenti avrebbero invece indicato utility come “Enable Right Click & Copy Smart Unlock + OCR”. Al momento della pubblicazione dell’articolo di Android Authority, quest’ultima risultava ancora disponibile sullo store di Chrome, con circa 70.000 installazioni e una valutazione di 4,7 stelle su 5.

Questi elementi non significano che ogni estensione appartenente alle categorie citate sia pericolosa, né che una valutazione elevata rappresenti una prova di sicurezza. Evidenziano piuttosto un problema conosciuto nell’ecosistema delle estensioni: un componente nato come legittimo può cambiare proprietario o comportamento nel corso del tempo.

Perché un’estensione affidabile può diventare un rischio

Un’estensione del browser non è necessariamente immutabile. Gli sviluppatori possono aggiornarla e, in alcuni casi, un progetto può essere ceduto a un’altra società o a un nuovo proprietario. Android Authority sottolinea come attori malevoli possano acquisire estensioni precedentemente legittime e sfruttarne la base di utenti attraverso aggiornamenti successivi.

Chrome dispone comunque di un proprio sistema di aggiornamento delle estensioni. La documentazione di Google spiega che il browser controlla periodicamente la presenza di nuove versioni e può scaricarle e installarle automaticamente. È un meccanismo indispensabile per distribuire correzioni di sicurezza e nuove funzionalità, ma significa anche che gli utenti devono prestare attenzione ai permessi e all’affidabilità delle estensioni che mantengono installate.

Il fenomeno dei falsi aggiornamenti, inoltre, continua a essere sfruttato nel 2026. Guide di sicurezza pubblicate negli ultimi mesi avvertono che un popup proveniente da una pagina web e capace di spingere al download di file o all’esecuzione di comandi non deve essere considerato una normale procedura di aggiornamento di Chrome.

Cosa fare se compare un popup sospetto

La prima regola è non scaricare né eseguire il file indicato dal popup. Per controllare se Chrome necessita realmente di un aggiornamento è preferibile ignorare l’avviso visualizzato dalla pagina e utilizzare direttamente le funzioni integrate nel browser. Anche le raccomandazioni di sicurezza relative ai falsi aggiornamenti suggeriscono di verificare la versione attraverso il menu di Chrome anziché fidarsi di pulsanti comparsi durante la navigazione.

Se gli avvisi continuano ad apparire su siti differenti, vale la pena controllare anche l’elenco delle estensioni installate. L’indagine può partire dai componenti aggiunti più recentemente, dalle utility poco conosciute e dalle estensioni che dispongono di permessi particolarmente ampi. Disabilitarle temporaneamente una alla volta può aiutare a individuare quella responsabile del comportamento anomalo.

Un ulteriore segnale da non ignorare è la richiesta di effettuare operazioni insolite: scaricare un eseguibile, aprire PowerShell o il Terminale, incollare comandi oppure disattivare le protezioni di sicurezza non fa parte del normale processo di aggiornamento di un browser.

La familiarità dell’interfaccia non è una garanzia. Loghi, colori e finestre apparentemente ufficiali possono essere replicati con notevole precisione, tanto che anche siti legittimi compromessi sono stati utilizzati in passato per distribuire falsi aggiornamenti. Per questo, quando Chrome segnala la necessità di una nuova versione, la verifica più sicura resta quella effettuata direttamente dalle impostazioni del browser, senza affidarsi a popup comparsi durante la navigazione.