De flesta rogue tillägg bombarderar människor med annonser, men de mest skadliga stjäla inloggningsnamn och andra värdefulla data.
Projektet genomfördes av säkerhetsexperter och Google och analyserade mer än 100 miljoner besök på sökjättens webbplatser.
Det ledde till Google rensa nästan 200 dåliga tillägg från sina online-kataloger av webbläsartillägg.
Extensions och tillägg för webbläsare lägga till alla typer av funktioner och funktioner i programvaran.
Många av dessa tillägg har dolda extramaterial som orsakar problem för människor som installerar dem, sade UC Santa Barbara dataforskare Alexandros Kapravelos, som arbetade med Google på rogue tilläggsprojekt.
Forskningen fann att skadliga tillägg var tillgängliga för varje större webbläsare.
Resultaten kommer att publiceras i sin helhet i maj på IEEE Symposium om säkerhet och integritet.
Preliminära resultat visade att 5% av människor som får tillgång till Google varje dag har fångats ut av minst en skadlig förlängning.
Av dessa offer, ungefär en tredjedel har fyra eller fler dåliga tillägg installerats i sin webbläsare.
"Det är ett mycket svårt problem att ta itu med", sade Giorgio Kapravelos.
Vissa dåliga förlängningar var lätt att upptäcka, sade han, eftersom de var så tydligt skrivna för att stjäla säljbara data såsom bitcoins, bank inloggningar eller personuppgifter.
Men många använda tekniker sett i legitima förlängningar, sade han, och det krävdes en hel del extra analys för att sätta fast de dåliga.
"Även när vi har en fullständig förståelse för vad utvidgningen gör, ibland är det inte klart om detta beteende är skadligt eller inte", sade han.
"Du skulle förvänta dig att en förlängning som injicerar eller ersätter annonser är skadlig, men då har du AdBlock som skapar en annonsfri webbupplevelse och är tekniskt mycket lik."
Experter från det svenska säkerhetsföretaget ScrapeSentry sa att man hade hittat exempel på förlängningar som samlat in data på sätt som lätt kunde missbrukas.
ScrapeSentry analys av en förlängning, kallas Webbsidan Skärmdump, avslöjade att det innehöll kod som lät den ta kopior av all webbläsartrafik från datorn på vilken den installerades.
De insamlade uppgifterna skickades sedan till en server i USA. Förlängningen har laddats ner cirka 1,2 miljoner gånger.
– Vad som händer med personuppgifterna och motiven för att skicka dem till den amerikanska servern är vem som helsts gissning, men vi skulle ta en välutbildad gissning om att det inte kommer att bli goda nyheter, säger Martin Zetterlund från ScrapeSentry.
En talesman för Webpage Screenshot sa att det inte fanns något illvilligt om de data som samlades in. Istället, sade talesmannen, det användes för att förstå vem utvidgningen användare var och var de var belägna för att hjälpa till att driva utvecklingen av koden.
Användarna kunde välja bort att dela data, sade han.
Kapravelos sade att Google hade agerat på de tidiga resultaten av forskningen genom att ta bort 192 aktivt skadliga tillägg från sin Chrome-katalog. Omkring 14 miljoner människor hade lurats att använda dessa tillägg, sade han.
UC Santa Barbara teamet arbetade med Google för att utveckla verktyg som automatiskt kan upptäcka skadliga tillägg och flagga dem till sökjättens säkerhetspersonal.
Dessutom, sade Giorgio Kapravelos, hade företag vars annonser sprutades in på webbsidor genom de oseriösa utvidgningarna informerats.
Tyvärr, sade han, hade ad injektion blivit "försedd" som ett sätt för några skrupelfria utvecklare att tjäna pengar.
Forskningen fann att endast ett litet antal utvecklare låg bakom majoriteten av de oseriösa tillägg som pepprar människor med annonser, vilket tyder på att riktade åtgärder kan hjälpa till att ta itu med problemet.
Tiotals miljoner användare som besöker Googles webbplatser använder en webbläsare laddad med skadliga tillägg, föreslår forskningen.