Wprowadzenie do problemu / definicja
Ekosystem rozszerzeń przeglądarkowych od lat pozostaje atrakcyjnym celem nadużyć, ponieważ dodatki działają blisko danych użytkownika i często otrzymują szerokie uprawnienia. Najnowsza wykryta kampania pokazała, że nawet rozszerzenia reklamowane jako narzędzia prywatności, takie jak VPN-y i proxy, mogą w praktyce obniżać poziom bezpieczeństwa. W analizowanym przypadku setki dodatków podszywały się pod znane marki i przekierowywały ruch przeglądarki przez infrastrukturę kontrolowaną przez jednego operatora.
W skrócie
Badacze bezpieczeństwa zidentyfikowali ponad 737 rozszerzeń dla Google Chrome, które imitowały popularne usługi VPN i proxy. Część z nich konfigurowała przeglądarkę tak, aby ruch był przekazywany przez serwery SOCKS5 kontrolowane przez operatora kampanii. Łączna liczba instalacji sięgała około 75 tysięcy, a analiza wskazała na wykorzystanie 40 kont wydawców oraz wspólnego zaplecza analitycznego. Choć część dodatków została usunięta, wiele z nich pozostawało dostępnych w sklepie w chwili publikacji ustaleń.
Kontekst / historia
Fałszywe lub wprowadzające w błąd rozszerzenia nie są nowym zjawiskiem, jednak kampanie podszywające się pod usługi bezpieczeństwa mają wyjątkowo wysoki potencjał nadużyć. Użytkownicy poszukujący VPN-u zwykle chcą zwiększyć prywatność, ominąć ograniczenia regionalne lub zabezpieczyć połączenie, dlatego częściej akceptują szerokie uprawnienia i mniej krytycznie podchodzą do deklaracji producenta.
W tej kampanii operatorzy wykorzystywali nazwy, opisy i elementy identyfikacji wizualnej kojarzone z rozpoznawalnymi markami VPN oraz usługami proxy. Według ustaleń badaczy część rozszerzeń reklamowała również nieistniejące lokalizacje serwerów premium, co może wskazywać na próbę monetyzacji poprzez fałszywe plany subskrypcyjne. Tego typu praktyki naruszają zasady Chrome Web Store dotyczące podszywania się, treści spamowych oraz wprowadzania użytkowników w błąd.
Analiza techniczna
Kluczowym elementem technicznym kampanii było wymuszanie trasowania ruchu przeglądarki przez zewnętrzny serwer proxy SOCKS5, najczęściej na porcie 1082. W praktyce oznaczało to możliwość zmiany ustawień sieciowych Chrome tak, aby żądania HTTP i HTTPS przechodziły przez infrastrukturę kontrolowaną przez operatora. Sam mechanizm proxy nie jest automatycznie złośliwy, ponieważ podobnie działają legalne usługi VPN i proxy. O niebezpieczeństwie przesądzała jednak warstwa oszustwa: podszywanie się pod znane marki, ukrywanie faktycznego operatora oraz deklarowanie funkcji, których dodatek nie realizował.
Badacze opisali kilka dominujących wzorców działania:
- masowe przekierowywanie ruchu do wspólnego zaplecza proxy,
- wykorzystanie DNS-over-HTTPS do rozwiązywania nazw hostów proxy,
- prezentowanie fikcyjnych serwerów premium w różnych krajach,
- rozproszenie kampanii na wiele kont wydawców, co utrudniało szybką korelację i reakcję.
Taki model dawał operatorowi znaczną widoczność w ruch użytkownika. Nawet jeśli treść komunikacji była szyfrowana, pośrednik mógł obserwować metadane połączeń, adresy docelowe, źródłowy adres IP użytkownika oraz cały ruch przesyłany nieszyfrowanym HTTP. Dodatkowym problemem mogła być zdalna konfiguracja po zatwierdzeniu rozszerzenia w sklepie, co utrudnia wykrycie rzeczywistego zachowania na etapie weryfikacji.
Konsekwencje / ryzyko
Najbardziej oczywistym zagrożeniem jest utrata prywatności. Użytkownik instalujący fałszywy VPN może nieświadomie przekazać dane o swojej aktywności podmiotowi, którego tożsamość pozostaje ukryta. Dotyczy to historii odwiedzanych domen, wzorców połączeń, przybliżonej geolokalizacji na podstawie adresu IP oraz potencjalnie treści komunikacji nieszyfrowanej.
Drugim poziomem ryzyka jest możliwość manipulacji ruchem. Operator proxy znajdujący się na ścieżce transmisji może wpływać na odpowiedzi dla ruchu HTTP, prowadzić przekierowania, podstawiać treści lub wspierać kampanie phishingowe. W środowisku firmowym takie rozszerzenie może stać się punktem wyjścia do dalszego rozpoznania infrastruktury i obejścia części polityk bezpieczeństwa.
Trzecim obszarem zagrożeń są oszustwa finansowe i reputacyjne. Reklamowanie nieistniejących usług premium może prowadzić do wyłudzeń płatności, a podszywanie się pod legalne marki podważa zaufanie do całego segmentu narzędzi prywatności. Dla organizacji oznacza to także wzrost ryzyka shadow IT, gdy pracownicy samodzielnie instalują niezweryfikowane dodatki.
Rekomendacje
Użytkownicy indywidualni powinni w pierwszej kolejności przejrzeć listę zainstalowanych rozszerzeń i usunąć wszystkie dodatki VPN lub proxy, których pochodzenia nie potrafią jednoznacznie potwierdzić. Po odinstalowaniu warto sprawdzić, czy ustawienia proxy w Chrome i w systemie operacyjnym wróciły do stanu domyślnego oraz czy nie pozostała niestandardowa konfiguracja DNS.
Organizacje powinny wdrożyć ścisłą kontrolę rozszerzeń przeglądarkowych na poziomie polityk zarządzania punktami końcowymi. Najbezpieczniejszym podejściem pozostaje model allowlist, w którym dozwolone są wyłącznie zatwierdzone dodatki.
- Monitorować obecność nieautoryzowanych rozszerzeń Chrome.
- Weryfikować zmiany w ustawieniach proxy użytkownika i przeglądarki.
- Analizować połączenia do nieznanych serwerów pośredniczących, zwłaszcza SOCKS5.
- Sprawdzać anomalie w ruchu DNS-over-HTTPS i ruchu wychodzącym przez pojedyncze węzły pośrednie.
- Edukować użytkowników, że obecność dodatku w oficjalnym sklepie nie gwarantuje bezpieczeństwa.
Podsumowanie
Opisana kampania pokazuje, że rozszerzenia reklamowane jako narzędzia ochrony prywatności mogą stać się mechanizmem przechwytywania i pośredniczenia w ruchu użytkownika. Nie chodziło wyłącznie o złośliwy kod, ale o połączenie funkcji sieciowych, ukrytej infrastruktury, podszywania się pod znane marki i potencjalnego oszustwa subskrypcyjnego. Dla użytkowników i firm to wyraźny sygnał, że bezpieczeństwo przeglądarki wymaga takiej samej kontroli jak bezpieczeństwo stacji roboczej.
Źródła
- Hundreds of fake Chrome VPN extensions route traffic through a proxy — https://www.bleepingcomputer.com/news/security/hundreds-of-fake-chrome-vpn-extensions-route-traffic-through-a-proxy/
- Chrome Web Store – Program Policies — https://developer.chrome.com/docs/webstore/program-policies
- Impersonation & Intellectual Property — https://developer.chrome.com/docs/webstore/program-policies/impersonation-and-intellectual-property
- Spam policy FAQ — https://developer.chrome.com/docs/webstore/spam-faq/
- Deceptive Installation Tactics FAQ — https://developer.chrome.com/docs/webstore/program-policies/deceptive-installation-tactics-faq?authuser=0000