Setki fałszywych rozszerzeń Chrome. Przejmowały ruch użytkowników

Socket naliczył 737 darmowych dodatków VPN i proxy opublikowanych przez co najmniej 40 kont deweloperskich w sklepie z dodatkami do Google Chrome. Ponad 270 z nich udawało 66 znanych marek związanych z prywatnością. Łącznie zebrały ponad 75 tys. instalacji, głównie wśród rosyjskojęzycznych użytkowników szukających dostępu do blokowanych usług.

Badacze powiązali całą sieć z rosyjskim biznesem subskrypcyjnym działającym pod nazwą Myxa VPN. Wskazywały na to wspólne konto analityczne, zbliżone rejestracje domen, wspólny hosting oraz ujawnione ścieżki kompilacji w systemie Windows. Darmowe rozszerzenia miały kierować użytkowników do płatnej oferty.

Część obietnic dotyczących wersji premium nie wytrzymała testów. Socket podaje, że dodatki reklamowały serwery m.in. w Japonii, Singapurze i Australii. Gdy zespół sprawdził 200 nazw hostów premium w 40 domenach, żadna nie zwróciła rekordu A, co sugerowało, że takie serwery po prostu nie istniały.

Schemat działania był podobny w niemal każdym przypadku. Po kliknięciu przycisku Connect cały ruch z przeglądarki trafiał przez serwer kontrolowany przez operatora, bez wyjątków dla poszczególnych stron. Rozszerzenia nie dodawały szyfrowania, więc nie zapewniały ochrony, jakiej użytkownicy oczekują od prawdziwej usługi VPN.

Socket ustalił też, że 104 rozszerzenia pobierały adresy proxy przez Cloudflare lub Google DNS-over-HTTPS i przekazywały Chrome surowy adres IP, co utrudniało wykrycie serwerów. Taki pośrednik mógł widzieć odwiedzane strony, metadane TLS SNI, źródłowy adres IP oraz dane wysyłane przez nieszyfrowane strony HTTP.

Badacze nie potwierdzili, czy dane były faktycznie zbierane lub nadużywane, ale wskazali na samo ryzyko. Do czasu zebrania danych Google usunął 221 z 737 rozszerzeń, a 516 nadal było dostępnych. Jeśli taki dodatek został zainstalowany, Socket zaleca jego usunięcie, sprawdzenie ustawień proxy w Chrome i zmianę danych wpisanych na stronach bez HTTPS.