Кампанию обнаружила компания Socket. 108 расширений публиковались под пятью аккаунтами (GameGen, InterAlt, SideGames, Rodeo Games, Yana Project) и маскировались под игры и тулзы. 54 расширения крадут Google-аккаунты через OAuth2 — злоумышленники получают email, имя и фото жертвы. 45 расширений содержат бэкдор, открывающий любые URL при запуске браузера.

Одно из расширений ворует сессии каждые 15 секунд и может подменить сессию жертвы на сессию атакующего. Другие расширения снимают защиту, вставляя рекламу и скрипты.