Cómo eliminar el malware de ModHeader y limpiar lo que dejó atrás

Qué pasó (la versión de 60 segundos)

• A principios de julio de 2026, Google marcó ModHeader como malware y lo desactivó, y Microsoft lo retiró de la tienda de complementos de Edge (hacia el 3 de julio; la ficha de Chrome desapareció alrededor del 10 de julio).
• Los investigadores reportaron que la build 7.0.18 de ModHeader incluía un SDK oculto —escondido en un archivo disfrazado de librería de fechas (dayjs.min-*.js)— que recopilaba los dominios que visitabas, los cifraba con AES-GCM y los enviaba por POST una vez al día a un recolector de terceros en api.stanfordstudies.com/app/log (un sitio titulado «Stanford Studies» sin relación alguna con la Universidad de Stanford).
• Alcance reportado: aproximadamente ~900.000 instalaciones en Chrome más ~700.000 en Edge (~1,6 millones en total). Algunos artículos citan solo la cifra de ~800.000 de Chrome.
• Matiz importante: según los investigadores, el recolector se distribuyó inactivo, dormido tras una lista de permitidos vacía —en sus pruebas no se envió nada—, pero el endpoint, la clave y el planificador estaban listos y una actualización futura podía encenderlo. Por eso lo más preciso es hablar de un riesgo grave de exposición, no de una filtración masiva confirmada.

Si todavía tienes ModHeader instalado, la recomendación generalizada es eliminarlo. Así se hace una limpieza a fondo.

Paso 1 — Confirma si estás afectado

Abre chrome://extensions (y edge://extensions si usas Edge) y activa el modo de desarrollador para que se muestren los números de versión.

• Nombre: ModHeader — Modify HTTP headers
• ID de la extensión: idgpnmonknjnojddfkpgkljpfnnfcklj
• Versión señalada: 7.0.18 (si tienes esta build, considérate afectado)

Si la revisión de seguridad de Chrome ya te muestra «Esta extensión contiene malware», estás en el sitio correcto: no te limites a cerrar el aviso, completa toda la limpieza de abajo. El aviso real tiene este aspecto:

Paso 2 — Elimina la extensión (Chrome y Edge)

1. Ve a chrome://extensions → localiza ModHeader → pulsa Quitar → confirma. Repite en edge://extensions.
2. Si el navegador ya la desactivó, déjala desactivada y pulsa Quitar igualmente: desactivarla solo impide que se ejecute, pero no borra sus datos en caché.
3. Hazlo en cada perfil del navegador donde la tuvieras instalada (cada perfil de Chrome es independiente).

Paso 3 — Borra los datos locales residuales

Desinstalar suele limpiar la mayor parte, pero los datos en caché de la extensión —que según los investigadores podían superar con creces los 100 MB de cabeceras de petición/respuesta almacenadas, con posibles tokens y cookies— a veces se quedan atrás. Para ir sobre seguro, borra las carpetas siguientes que aún existan. Sustituye Default por tu carpeta de perfil real (revisa también Profile 1, Profile 2, …).

macOS

Dentro de ~/Library/Application Support/Google/Chrome/ (y el equivalente de Edge bajo Microsoft Edge):

• Default/Extensions/idgpnmonknjnojddfkpgkljpfnnfcklj
• Default/Local Extension Settings/idgpnmonknjnojddfkpgkljpfnnfcklj
• Default/Sync Extension Settings/idgpnmonknjnojddfkpgkljpfnnfcklj
• Default/IndexedDB/chrome-extension_idgpnmonknjnojddfkpgkljpfnnfcklj_0.indexeddb.leveldb

Windows

Dentro de %LOCALAPPDATA%\Google\Chrome\User Data\ (Edge: %LOCALAPPDATA%\Microsoft\Edge\User Data\):

• Default\Extensions\idgpnmonknjnojddfkpgkljpfnnfcklj
• Default\Local Extension Settings\idgpnmonknjnojddfkpgkljpfnnfcklj
• Default\Sync Extension Settings\idgpnmonknjnojddfkpgkljpfnnfcklj
• Default\Managed Extension Settings\idgpnmonknjnojddfkpgkljpfnnfcklj
• Default\IndexedDB\chrome-extension_idgpnmonknjnojddfkpgkljpfnnfcklj_0.indexeddb.leveldb

Cierra el navegador por completo antes de borrar estas carpetas; si no, los archivos pueden estar bloqueados.

💡 Consejo: encárgale el barrido a un agente de código. Si usas un coding agent como Claude Code o Codex, pégale la URL de esta guía (o la lista de carpetas de arriba) y pídele que localice y elimine los directorios residuales de ModHeader en todos tus perfiles del navegador; es especialmente útil cuando tienes varios perfiles y te preocupa dejarte alguno. Dos precauciones: cierra antes el navegador por completo, y pídele que primero liste lo que encontró y espere tu confirmación antes de borrar nada.

Paso 4 — Bloquea el dominio de exfiltración

Bloquea el recolector y deja registro, para que nada pueda alcanzarlo ni siquiera desde alguna copia en caché suelta:

• Particulares: añade 0.0.0.0 api.stanfordstudies.com a tu archivo hosts (/etc/hosts en macOS/Linux, C:\Windows\System32\drivers\etc\hosts en Windows), o bloquéalo en tu resolutor DNS / Pi-hole.
• Equipos: añade api.stanfordstudies.com (y el dominio padre stanfordstudies.com) a vuestra lista de bloqueo DNS / firewall de salida, y busca en los logs del proxy y del DNS cualquier POST /app/log histórico hacia ese host.

Paso 5 — Rota todo lo sensible que le hayas dado

Como la extensión podía leer y almacenar las cabeceras que pasaban por tu navegador, trata como potencialmente expuesto todo lo que solías pegar en ella y vuelve a emitirlo:

• Tokens Authorization / Bearer y claves de API usados en configuraciones de cabeceras.
• Cookies de sesión que establecías por cabecera para pruebas.
• Cualquier hostname interno o credencial de staging que apareciera en tus juegos de cabeceras.

Es una medida preventiva, dado el estado inactivo reportado; pero rotar un token es un seguro barato comparado con dar por hecho que no pasó nada.

Indicadores de compromiso (para equipos de seguridad / IT)

Busca lo siguiente en los endpoints gestionados. Los indicadores mejor corroborados son el ID de la extensión, la versión, el endpoint de exfiltración y el nombre de archivo camuflado; los marcados como (según lo reportado) proceden del análisis original de ingeniería inversa y se incluyen por exhaustividad.

Comportamiento reportado: recolección solo de dominios (sin URL completas, sin valores de cookies, sin contraseñas), cifrado AES-GCM, una subida en lote al día con planificación aleatoria por dispositivo, y sin ejecución remota de código ni carga de scripts externos.

Si necesitas un editor de cabeceras que lo reemplace

Seguirás necesitando modificar cabeceras para tus pruebas, así que la pregunta práctica es en quién confiar a partir de ahora. La lista que de verdad importa: funcionalidad pequeña y enfocada; nativo de Manifest V3; sin anuncios y sin analítica; permisos que puedas razonar; y un modelo de compartición que no pase tus configuraciones por el servidor de otro.

VibeHeader se construyó con esa especificación: sin anuncios, sin rastreo, y con compartición por enlace que codifica la configuración en el fragmento de la URL (#c=), de modo que se procesa en tu navegador y no se envía nada a ningún servidor. Además se está publicando como código abierto, para que no tengas que fiarte solo de nuestra palabra. Para conocer la historia completa y otras opciones mantenidas, lee el relato del creador (en inglés) y la comparativa de alternativas a ModHeader (en inglés).

Sin presión: el objetivo de esta página es que limpies los restos de forma segura, cambies a lo que cambies.