Adblock for YouTube è pericoloso: rimuovilo subito da Chrome
L'estensione Chrome più usata per bloccare le pub su YouTube nasconde un meccanismo di iniezione codice attivabile da remoto senza aggiornamenti.
Adblock for YouTube è tra le estensioni Chrome più installate al mondo, ma è pericoloso tenerla sul browser. I ricercatori di Island Security hanno pubblicato il 25 giugno 2026 un’analisi tecnica dettagliata, battezzata BadBlocker, che descrive una capacità dormiente di iniezione di codice attivabile da remoto senza alcun aggiornamento dell’estensione e senza alcuna revisione da parte del Chrome Web Store. Se ce l’hai installata, è il momento di rimuoverla.
Cos’è Adblock for YouTube e perché è diffusa
L’estensione è presente sul Chrome Web Store dal 2014, ha accumulato oltre 11 milioni di installazioni, 374.000 recensioni, una valutazione di 4,4 stelle e il badge Featured di Google. Si posiziona al 31° posto per numero di installazioni sull’intero store. In apparenza Adblock for YouTube è esattamente quello che promette: blocca le pubblicità su YouTube. Il problema non è quello che fa, ma quello che potrebbe fare.
Il problema tecnico: una regex che non protegge nulla
Adblock for YouTube è pericoloso per un motivo preciso. L’estensione dichiara nei permessi host_permissions: ["<all_urls>"], cioè il diritto di eseguire codice su ogni pagina visitata dal browser, non solo su YouTube. Webmail, app SaaS, console di amministrazione, home banking, strumenti interni aziendali. Tutto.
Il codice include un controllo che dovrebbe limitare l’iniezione a YouTube, ma si tratta di una regex ingenua: /youtube.com/.test(url). Cerca semplicemente la stringa youtube.com in qualsiasi punto dell’URL. Un indirizzo come https://bank.example.com/search?q=youtube.com supera il filtro senza problemi. Il risultato è un accesso a tutto il web governato da una verifica aggirabile con un parametro qualsiasi.
La configurazione scaricata da remoto ogni 24 ore
Ogni 24 ore l’estensione scarica la propria configurazione da un server remoto, api.adblock-for-youtube.com. La risposta include le normali regole di filtraggio, ma contiene anche un campo scriptletsRules con cui il server sceglie quali script eseguire e con quali argomenti. Questo significa che chi controlla il server potrebbe in qualsiasi momento attivare codice arbitrario su milioni di browser, rendendo Adblock for YouTube pericolosa senza aggiornare l’estensione, senza passare per alcuna revisione del Chrome Web Store e senza che l’utente veda alcun segnale.
I ricercatori di Island Security lo hanno dimostrato con una proof of concept: simulando il server dell’estensione, hanno iniettato uno script in un tab YouTube che ha aperto una pagina Salesforce ed esfiltrato dati di account. Tutto con una sola modifica lato server.
Una storia già vista: estensioni sorelle rimosse per malware
Adblock for YouTube è pericoloso anche per il contesto in cui opera. Intorno al 2018 l’estensione ha cambiato proprietà ed è stata riscritta. Versioni precedenti includevano lo Unistream SDK, un kit per l’iniezione di annunci associato ad attività adware, rimosso solo nel giugno 2024. I percorsi di iniezione controllati da remoto sono presenti nel codice almeno dal febbraio 2025.
Tre estensioni riconducibili alla stessa infrastruttura sono già state rimosse da Google per malware: Adblock for Chrome, Adblock for You e AdBlock Suite. Al momento Adblock for YouTube è l’unica ancora presente nello store.
Se stai cercando alternative sicure per navigare senza pubblicità, dai un’occhiata alla nostra guida su perché AdBlock Chrome non funziona e come risolvere, con le opzioni più affidabili disponibili oggi.
I ricercatori: nessun payload malevolo osservato, ma il rischio è reale
Island Security precisa che i ricercatori non hanno osservato alcun payload malevolo distribuito agli utenti. Quella documentata è una capacità presente in produzione, non una compromissione in corso. Il punto però è solido: l’architettura è pronta, il meccanismo è attivo, e basterebbe una modifica sul server per colpire 11 milioni di browsercontemporaneamente.
È un caso di scuola sul rischio della supply chain delle estensioni. La fiducia si accumula sul nome, le stelle, le recensioni. Il codice che gira nel browser può cambiare sotto quella stessa fiducia, senza che nessuno se ne accorga. Puoi approfondire la guerra continua tra YouTube e gli adblock nel nostro articolo su YouTube contro gli adblock.
Cosa fare adesso
La prima cosa è rimuovere Adblock for YouTube dal browser. Vai su chrome://extensions, trova l’estensione con ID cmedhionkhpnakcndndgjdbohmhepckk e disinstallala. Se hai bisogno di bloccare le pubblicità su YouTube, le alternative sicure con permessi limitati e codice open source sono uBlock Origin e AdGuard. Entrambe non richiedono accesso a tutti gli URL senza motivazione e non scaricano configurazioni da server remoti per gestire l’iniezione di script.
Streaming
YouTube Premium in condivisione con GamsGo
Guarda YouTube senza pubblicità e con riproduzione in background. Con GamsGo condividi l’abbonamento e paghi molto meno. Usa il codice MREFN per uno sconto esclusivo.
Scopri l’offerta su GamsGoLa situazione
Adblock for YouTube è pericoloso non perché stia facendo qualcosa di malevolo in questo momento, ma perché potrebbe farlo in qualsiasi momento, senza aggiornamenti e senza lasciare tracce visibili. Con 11 milioni di installazioni attive e un meccanismo di controllo remoto già in produzione, il rischio non è teorico. Rimuovila adesso e passa a un’alternativa con meno permessi e più trasparenza.
Ti è piaciuto questo articolo?
Seguici per restare aggiornato su tech, smartphone e streaming – senza perderti nulla.
Commento all'articolo