As primeiras extensões concentravam-se na fraude de afiliados, extraindo comissões ocultas nas compras online das vítimas, passando posteriormente para a manipulação de resultados de pesquisa. Mais recentemente, incluíram rastreamento comportamental sofisticado, coleta de dados de sessão e vigilância de impressões digitais do navegador, afetando 4 milhões de usuários, e um backdoor que suporta execução remota de código (RCE), afetando 300.000.

ShadyPanda jogou o jogo longo, com extensões incluindo o popular utilitário Clean Master com 200.000 instalações distribuídas como ferramentas completamente legítimas desde o início, ganhando classificações positivas dos usuários e, em alguns casos, sinais de confiança como “Destaque” ou “Verificado” emblemas na Chrome Web Store e na loja de complementos do Microsoft Edge.

Nenhuma revisão após o envio

Essa legitimidade de longo prazo construiu uma grande base de usuários e pode ter normalizado essas extensões dentro das empresas, onde os complementos de navegador geralmente passam com pouco escrutínio. Somente depois de acumular confiança e milhões de instalações, o ShadyPanda lançou atualizações maliciosas silenciosas. Ele incorporou rotinas ocultas de rastreamento de instalação que mapearam o comportamento do usuário e otimizaram o alcance antes de transformá-lo em uma arma por meio de uma atualização maliciosa.