Setki fałszywych VPN-ów w Chrome. Wielu użytkowników mogło przekazywać ruch przez obce serwery

Badacze bezpieczeństwa wykryli 737 bezpłatnych niebezpiecznych rozszerzeń VPN i proxy dostępnych w Google Chrome, które były dystrybuowane przede wszystkim wśród rosyjskojęzycznych użytkowników próbujących uzyskać dostęp do zablokowanych usług. Rozszerzenia instalowano dziesiątki tysięcy razy, a ich działanie pozwalało kierować praktycznie cały ruch przeglądarki przez kontrolowaną infrastrukturę proxy.

Według firmy Socket dodatki opublikowano przy użyciu co najmniej 40 kont deweloperskich w Chrome Web Store i łącznie zebrały 75 486 instalacji. Szczególnie niepokojące jest to, że 274 rozszerzenia podszywały się pod 66 znanych programów VPN między innymi Proton VPN, NordVPN, Surfshark, ExpressVPN, CyberGhost, Windscribe, TunnelBear, AdGuard VPN, Cloudflare 1.1.1.1 oraz Google Outline.

Jak działały fałszywe dodatki do Chrome

Analiza większego zbioru wykazała, że 520 z 522 sprawdzonych rozszerzeń korzystało z tej samej infrastruktury SOCKS5. Po uruchomieniu fałszywego VPN-u ustawienia proxy Chrome były zmieniane tak, aby ruch przechodził przez wskazany serwer na porcie 1082. Lista wyjątków obejmowała zasadniczo tylko adres lokalny urządzenia, więc pozostałe żądania przeglądarki trafiały przez zewnętrzne serwery.

Badacze bezpieczeństwa wykryli 737 bezpłatnych niebezpiecznych rozszerzeń VPN i proxy dostępnych w Google Chrome, które były dystrybuowane przede wszystkim wśród rosyjskojęzycznych użytkowników próbujących uzyskać dostęp do zablokowanych usług. Rozszerzenia instalowano dziesiątki tysięcy razy, a ich działanie pozwalało kierować praktycznie cały ruch przeglądarki przez kontrolowaną infrastrukturę proxy.

Źródło: Socket

Dawało to operatorowi infrastruktury pozycję pośrednika pomiędzy użytkownikiem a odwiedzanymi usługami. Mógł on między innymi obserwować adres źródłowy IP, odwiedzane domeny, informacje TLS SNI oraz treść zapytań przesyłanych bez szyfrowania HTTP. Największym zagrożeniem jest oczywiście podszywanie się pod znane marki, co potrafi uśpić czujność użytkowników.

Co jeszcze znaleziono?

Badacze znaleźli również inne podejrzane elementy. Część rozszerzeń reklamowała nieistniejące płatne pakiety i lokalizacje premium, inne prezentowały fałszywy interfejs połączenia, mimo że każda próba nawiązania połączenia kończyła się niepowodzeniem. Odkryto też mechanizmy zdalnej konfiguracji dodawane po zatwierdzeniu rozszerzeń oraz ślady sugerujące świadome próby obchodzenia zasad Chrome Web Store. W zgłoszeniach do sklepu pojawiały się również zapewnienia o braku śledzenia i przesyłania danych na zewnętrzne serwery.

Google skasowało już część rozszerzeń

Google usunęło już 221 takich dodatków, jednak według przedstawionych danych pozostałych 516 nadal figurowało jako aktywne. W porównaniu z legalnym VPN-em techniczna metoda przekierowania ruchu może wyglądać podobnie, ale kluczowa różnica dotyczy przejrzystości operatora oraz świadomego podszywania się pod istniejące usługi.

Osobno Netskope Threat Labs zwróciło uwagę na rozszerzenie „AI Sidebar with Deepseek, ChatGPT, Claude, and more”, które wcześniej usunięto za wykradanie treści rozmów. Po powrocie dodatek przestał zawierać kod odpowiedzialny za ten proceder, ale późniejsza aktualizacja wprowadziła mechanizm otwierający link afiliacyjny przy aktualizacji oraz odinstalowaniu rozszerzenia.