Makers van ad- en malware kopen kleinere Chrome-extensies op om malware en advertenties te injecteren in de extensies en die als update te verspreiden. Omdat Chrome extensies automatisch updatet, hebben veel gebruikers niet door waar de advertenties vandaan komen.
Makers van Chrome-extensies kunnen het eigendom van hun extensie verkopen, maar gebruikers van die extensie zien daar niets van en ook als er een update uitkomt die de functionaliteit van de extensie wijzigt gebeurt dat stilletjes, schrijft OMGCHrome. Omdat veel gebruikers meerdere extensies hebben geïnstalleerd en bovendien gebruikers niet direct denken aan updates van extensies, kunnen makers van adware en malware ongestoord hun gang gaan. Om hoeveel extensies het tot nu toe gaat, is onbekend.
OMGCHrome verwijst naar een voorbeeld van de extensie Add To Feedly, die een knop aan Chrome toevoegt om de feed van een website toe te voegen aan de veelgebruikte rss-lezer Feedly. De maker van de extensie kreeg een 'bedrag met vier nullen' aangeboden voor zijn extensie met 30.000 gebruikers. Hij kreeg betaald, waarna de nieuwe eigenaar na enige tijd een update uitbracht die advertenties toevoegt.
De advertenties zijn veelal niet uit te schakelen en worden toegevoegd aan pagina's die gebruikers bezoeken. Zo toont de extensie Smooth Gestures, een extensie die veeggebaren mogelijk maakt in Chrome en een half miljoen gebruikers heeft, advertenties op sommige pagina's over thumbnails heen van de pagina zelf. Die ads zijn niet uit te schakelen en volgens een van de gebruikers toont hij zelfs tijdens het internetbankieren zijn advertenties.
Ook andere extensies vertonen zulk gedrag, hoewel het onduidelijk is hoeveel ontwikkelaars zelf hebben besloten advertenties toe te voegen en hoeveel eerst zijn opgekocht: de Chrome Web Store geeft niet weer of een extensie van eigenaar gewisseld is. Veelal is de stap te zien doordat de recensies eerst lovend zijn, waarna gebruikers ineens kritische reviews geven en melding maken van irritante advertenties.