InforSupports

Categoría: Seguridad

  • Detección y limpieza de browser hijacking en Brave, Firefox y Chrome

    Aplica a: Brave, Firefox, Chrome — SO: Windows y Linux

    El browser hijacking (secuestro de navegador) es uno de los problemas de soporte más comunes: un programa, extensión o instalador cambia la página de inicio, el motor de búsqueda o inyecta anuncios sin que el usuario lo haya autorizado. Esta guía cubre el diagnóstico y limpieza para los tres navegadores más usados, tanto en Windows como en Linux.

    1. Síntomas comunes

    Estos síntomas aplican por igual a Brave, Firefox y Chrome:

    SíntomaDescripción
    Página de inicio cambiadaAbre una URL que el usuario no configuró
    Motor de búsqueda cambiadoRedirige a Bing, Yahoo u otros desconocidos
    Extensiones no reconocidasAparecen sin que el usuario las haya instalado
    RedireccionamientosURLs normales redirigen a sitios publicitarios o extraños
    Barras de herramientas extraToolbars nuevas en la interfaz del navegador
    Velocidad reducidaEl navegador se siente más lento de lo habitual
    Anuncios invasivosPopups o anuncios fuera de lo normal
    Shields/protecciones desactivadosBrave Shields o uBlock apagados en sitios

    2. Diagnóstico rápido por navegador

    Brave

    brave://policy/          ← MÁS IMPORTANTE: si hay entradas en equipo personal = sospechoso
brave://extensions/      ← extensiones instaladas
brave://settings/search  ← motor de búsqueda activo
brave://settings/getStarted ← página de inicio
brave://settings/shields ← estado de Brave Shields global
brave://components/      ← componentes instalados

    Firefox

    about:policies           ← MÁS IMPORTANTE: políticas activas
about:addons             ← extensiones y temas (Ctrl+Shift+A)
about:preferences#search ← motor de búsqueda
about:preferences#home   ← página de inicio y nueva pestaña
about:support            ← información completa del perfil y configuración
about:config             ← configuración avanzada (buscar "homepage" o "newTab")

    Chrome

    chrome://policy/         ← MÁS IMPORTANTE: políticas activas
chrome://extensions/     ← extensiones instaladas
chrome://settings/search ← motor de búsqueda
chrome://settings/onStartup ← página de inicio
chrome://settings/cleanup   ← limpiador integrado (solo Windows)

    3. Revisar políticas en el registro de Windows

    Si brave://policy/, about:policies o chrome://policy/ muestran entradas en un equipo personal, verificar el registro:

    Brave:

    Get-ItemProperty "HKLM:\SOFTWARE\Policies\BraveSoftware\Brave" -ErrorAction SilentlyContinue
Get-ItemProperty "HKCU:\SOFTWARE\Policies\BraveSoftware\Brave" -ErrorAction SilentlyContinue

    Firefox:

    Get-ItemProperty "HKLM:\SOFTWARE\Policies\Mozilla\Firefox" -ErrorAction SilentlyContinue
Get-ItemProperty "HKCU:\SOFTWARE\Policies\Mozilla\Firefox" -ErrorAction SilentlyContinue

    Chrome:

    Get-ItemProperty "HKLM:\SOFTWARE\Policies\Google\Chrome" -ErrorAction SilentlyContinue
Get-ItemProperty "HKCU:\SOFTWARE\Policies\Google\Chrome" -ErrorAction SilentlyContinue

    4. Investigar qué instaló el hijack (Windows)

    Programas instalados recientemente:

    Get-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\* |
Select-Object DisplayName, InstallDate, Publisher |
Sort-Object InstallDate -Descending |
Select-Object -First 20 | Format-Table -AutoSize

    Tareas programadas sospechosas:

    Get-ScheduledTask | Where-Object { $_.State -eq "Ready" } |
Select-Object TaskName, TaskPath |
Sort-Object TaskPath | Format-Table -AutoSize

    Procesos del navegador corriendo con el navegador «cerrado»:

    # Brave
Get-Process brave -ErrorAction SilentlyContinue | Select-Object Name, Id, CPU

# Firefox
Get-Process firefox -ErrorAction SilentlyContinue | Select-Object Name, Id, CPU

# Chrome
Get-Process chrome -ErrorAction SilentlyContinue | Select-Object Name, Id, CPU

    5. Diagnóstico en Linux

    Políticas por archivo de configuración — Brave:

    cat /etc/brave/policies/managed/*.json 2>/dev/null
cat /etc/brave/policies/recommended/*.json 2>/dev/null

    Firefox:

    cat /etc/firefox/policies/policies.json 2>/dev/null
# También puede estar en el directorio de instalación:
find /usr/lib/firefox* -name "policies.json" 2>/dev/null

    Chrome:

    cat /etc/opt/chrome/policies/managed/*.json 2>/dev/null
cat /etc/opt/chrome/policies/recommended/*.json 2>/dev/null

    Procesos activos:

    ps aux | grep -E "(brave|firefox|chrome)" | grep -v grep

    Extensiones instaladas por ruta:

    # Brave (directorio de perfil del usuario)
ls ~/.config/BraveSoftware/Brave-Browser/Default/Extensions/

# Firefox
ls ~/.mozilla/firefox/*.default-release/extensions/

# Chrome
ls ~/.config/google-chrome/Default/Extensions/

    6. Limpieza paso a paso

    Paso 1 — Herramientas de limpieza

    HerramientaURL oficialNotas
    AdwCleanermalwarebytes.com/adwcleanerEspecífico para adware/hijackers
    Malwarebytes Freemalwarebytes.comEscaneo completo
    HitmanProhitmanpro.comSegunda opinión, 30 días gratis

    Importante: nunca buscar estas herramientas en Google; hay copias falsas que instalan más malware. Ir directo a la URL del fabricante:

    Paso 2 — Eliminar políticas del registro (Windows)

    # Brave
Remove-Item "HKLM:\SOFTWARE\Policies\BraveSoftware" -Recurse -Force -ErrorAction SilentlyContinue
Remove-Item "HKCU:\SOFTWARE\Policies\BraveSoftware" -Recurse -Force -ErrorAction SilentlyContinue

# Firefox
Remove-Item "HKLM:\SOFTWARE\Policies\Mozilla" -Recurse -Force -ErrorAction SilentlyContinue
Remove-Item "HKCU:\SOFTWARE\Policies\Mozilla" -Recurse -Force -ErrorAction SilentlyContinue

# Chrome
Remove-Item "HKLM:\SOFTWARE\Policies\Google" -Recurse -Force -ErrorAction SilentlyContinue
Remove-Item "HKCU:\SOFTWARE\Policies\Google" -Recurse -Force -ErrorAction SilentlyContinue

    Paso 3 — Eliminar extensiones maliciosas

    Ir a la URL de extensiones del navegador correspondiente, identificar las sospechosas y eliminarlas manualmente. Si no se puede eliminar (botón gris/deshabilitado), hay una política activa que lo impide — primero ejecutar el Paso 2.

    Paso 4 — Resetear el navegador a valores de fábrica

    Brave:

    brave://settings/reset

    Firefox: desde about:support, botón «Restablecer Firefox». O desde línea de comandos, para crear un perfil limpio:

    firefox --ProfileManager

    Chrome:

    chrome://settings/reset

    Nota: el reset elimina historial, cookies y configuraciones. Avisar al cliente antes de ejecutarlo.

    Paso 5 — Verificación post-limpieza

    Revisar nuevamente que las páginas de políticas estén vacías:

    brave://policy/     (debe estar vacío)
about:policies      (debe estar vacío)
chrome://policy/    (debe estar vacío)

    Verificar motor de búsqueda y página de inicio. Reiniciar el equipo y confirmar que no volvieron los cambios.

    7. Eliminar políticas en Linux

    Brave:

    sudo rm -rf /etc/brave/policies/managed/
sudo mkdir -p /etc/brave/policies/managed/

    Firefox:

    sudo rm -f /etc/firefox/policies/policies.json

    Chrome:

    sudo rm -rf /etc/opt/chrome/policies/managed/
sudo mkdir -p /etc/opt/chrome/policies/managed/

    8. Origen más común del hijack

    OrigenDescripción
    BundlewareSoftware gratuito que incluye el hijacker en su instalador (muy común)
    Extensión maliciosaExtensión instalada desde fuera de la tienda oficial
    Descarga de sitio falsoCopias falsas de software conocido (VLC, WinRAR, etc.)
    Crack/keygenSoftware pirateado con malware incluido
    PhishingEl usuario aceptó instalar algo sin leerlo

    Pregunta clave al cliente: «¿Instalaste algún programa recientemente, descargaste algo desde un sitio que no era el oficial, o alguien más usó el equipo?»

    9. Resumen del flujo de diagnóstico

    1. Abrir la página de políticas del navegador (brave://policy/, about:policies o chrome://policy/).
    2. Si hay entradas: eliminar las políticas del registro (Paso 2). Si no hay entradas: revisar extensiones y motor de búsqueda directamente.
    3. Correr AdwCleaner para detectar adware/hijackers residuales.
    4. Si el problema persiste, resetear el navegador a valores de fábrica.
    5. Verificar que la página de políticas quede vacía y confirmar con el cliente que no reaparecen los cambios tras reiniciar el equipo.