Wprowadzenie do problemu / definicja
Fałszywe rozszerzenia VPN dla przeglądarki Chrome stanowią szczególnie groźną kategorię zagrożeń, ponieważ podszywają się pod narzędzia mające zwiększać prywatność użytkownika. W rzeczywistości mogą przejmować kontrolę nad ruchem sieciowym, zmieniać ustawienia proxy i kierować połączenia przez infrastrukturę kontrolowaną przez operatorów kampanii.
W opisywanym przypadku wykryto szeroko zakrojoną operację obejmującą setki dodatków publikowanych w Chrome Web Store. Rozszerzenia imitowały znane marki VPN i usług proxy, a ich działanie narażało użytkowników na utratę poufności metadanych oraz potencjalne przechwycenie ruchu nieszyfrowanego.
W skrócie
- Badacze zidentyfikowali ponad 737 rozszerzeń podszywających się pod usługi VPN i proxy.
- Kampania była powiązana z 40 kontami wydawców oraz wspólnym mechanizmem analitycznym.
- 520 dodatków przekierowywało ruch przeglądarki przez serwery SOCKS5.
- 104 rozszerzenia wykorzystywały DNS-over-HTTPS do ukrywania elementów infrastruktury.
- Łączna liczba instalacji wyniosła około 75 tysięcy.
Kontekst / historia
Rozszerzenia przeglądarkowe oferujące funkcje VPN, proxy lub ochrony prywatności od lat są atrakcyjnym wektorem nadużyć. Użytkownicy często instalują je szybko, sugerując się nazwą, ikoną, ocenami lub obietnicą odblokowania usług i obejścia ograniczeń geograficznych. Taki model podejmowania decyzji sprzyja kampaniom opartym na impersonacji, czyli podszywaniu się pod rozpoznawalne marki.
W tej operacji operatorzy wykorzystywali nazwy i identyfikację wizualną kojarzoną z legalnymi dostawcami VPN oraz usług sieciowych. Badacze zauważyli również mylące opisy funkcji, niedziałające mechanizmy płatności i obietnice dostępu do serwerów premium, które nie istniały. Część zmian konfiguracyjnych miała być dodawana już po zatwierdzeniu dodatków w sklepie, co dodatkowo utrudniało użytkownikom ocenę rzeczywistego ryzyka.
Analiza techniczna
Najważniejszym elementem kampanii było wymuszanie konfiguracji proxy w przeglądarce Chrome. Według ustaleń badaczy 520 rozszerzeń ustawiało przekierowanie całego ruchu przez serwery SOCKS5 działające na porcie 1082. Oznacza to, że operator pośredniczący mógł uzyskać dostęp do metadanych komunikacyjnych, takich jak docelowe adresy, wartości SNI w sesjach TLS, adres IP ofiary oraz cały ruch przesyłany jawnym tekstem po HTTP.
Dodatkowo 104 rozszerzenia rozwiązywały nazwy hostów proxy za pomocą mechanizmów DNS-over-HTTPS. Taka technika utrudnia analizę ruchu i blokowanie kampanii, ponieważ ogranicza widoczność zapytań DNS w tradycyjnych systemach monitoringu i ukrywa część zależności infrastrukturalnych.
Badacze nie byli w stanie przeanalizować pełnego kodu wszystkich dodatków, ponieważ 212 rozszerzeń zostało usuniętych jeszcze w trakcie zbierania materiału. Wskazuje to na dynamiczny charakter operacji oraz możliwość szybkiego odtwarzania kampanii pod nowymi nazwami lub z wykorzystaniem nowych kont wydawców.
- masowe publikowanie podobnych rozszerzeń z wielu kont,
- współdzielona infrastruktura analityczna,
- centralne sterowanie konfiguracją proxy,
- maskowanie infrastruktury sieciowej,
- pozorne funkcje prywatnościowe połączone z monetyzacją subskrypcyjną.
Tego rodzaju aktywność stoi w sprzeczności z podstawowymi zasadami bezpieczeństwa i transparentności oczekiwanymi wobec rozszerzeń dostępnych w Chrome Web Store, zwłaszcza w zakresie zakazu podszywania się pod inne podmioty oraz wymogu rzetelnego opisywania funkcji i sposobu przetwarzania danych.
Konsekwencje / ryzyko
Największe zagrożenie wynika z fałszywego poczucia bezpieczeństwa. Użytkownik instaluje narzędzie mające poprawić prywatność, a w praktyce oddaje kontrolę nad trasą swojego ruchu nieznanemu operatorowi. Nawet bez odszyfrowywania treści HTTPS możliwa jest analiza metadanych, profilowanie aktywności, identyfikacja odwiedzanych usług oraz korelacja sesji z konkretnym adresem IP.
W środowiskach firmowych skutki mogą być jeszcze poważniejsze. Jeśli pracownik zainstaluje podobne rozszerzenie na urządzeniu służbowym, ruch związany z aplikacjami SaaS, panelami administracyjnymi lub zasobami wewnętrznymi może zostać skierowany przez niezaufane proxy. To zwiększa ryzyko ujawnienia informacji o architekturze organizacji, przechwycenia ruchu nieszyfrowanego, nadużyć związanych z sesjami oraz obchodzenia polityk bezpieczeństwa.
- ujawnienie metadanych dotyczących systemów i usług,
- przechwycenie ruchu nieszyfrowanego,
- utrata kontroli nad trasą komunikacji,
- utrudnienie analizy incydentów i dochodzeń powłamaniowych,
- pozostawienie zmodyfikowanej konfiguracji proxy po wyłączeniu dodatku.
Rekomendacje
Organizacje powinny potraktować ten incydent jako ważny sygnał ostrzegawczy i przeanalizować politykę zarządzania rozszerzeniami przeglądarek. Kontrola dodatków powinna być traktowana tak samo poważnie jak zarządzanie aplikacjami instalowanymi na stacjach roboczych.
- ograniczyć instalację rozszerzeń wyłącznie do zatwierdzonej listy,
- weryfikować wydawcę, historię aktualizacji i wymagane uprawnienia dodatku,
- monitorować ustawienia proxy w przeglądarkach i systemach końcowych,
- analizować ruch wychodzący pod kątem połączeń do serwerów SOCKS5 i nietypowych portów,
- wykorzystywać EDR, MDM oraz polityki przeglądarkowe do wymuszania zasad instalacji,
- regularnie audytować rozszerzenia deklarujące funkcje VPN, proxy lub ochrony prywatności,
- po wykryciu podejrzanego dodatku usuwać go i weryfikować przywrócenie poprawnej konfiguracji proxy,
- szkolić użytkowników, że sama nazwa i branding nie potwierdzają autentyczności narzędzia.
W środowiskach o podwyższonych wymaganiach bezpieczeństwa uzasadnione może być całkowite zablokowanie konsumenckich rozszerzeń VPN i zastąpienie ich centralnie zarządzanymi rozwiązaniami firmowymi.
Podsumowanie
Opisana kampania pokazuje, że ekosystem rozszerzeń przeglądarek nadal pozostaje podatny na nadużycia wykorzystujące zaufanie do znanych marek i obietnicę anonimowości. Setki fałszywych dodatków dla Chrome nie zwiększały prywatności użytkowników, lecz przejmowały kontrolę nad trasą ich ruchu sieciowego.
Z perspektywy obrony najważniejsze są ścisła kontrola instalowanych rozszerzeń, monitoring ustawień proxy oraz szybkie reagowanie na wszelkie oznaki podszywania się pod renomowane usługi. Incydent ten przypomina, że narzędzia deklarujące ochronę prywatności same również muszą być objęte rygorystyczną weryfikacją bezpieczeństwa.
Źródła
- BleepingComputer — https://www.bleepingcomputer.com/news/security/hundreds-of-fake-chrome-vpn-extensions-route-traffic-through-a-proxy/
- Chrome Web Store Program Policies — https://developer.chrome.com/docs/webstore/program-policies/policies?hl=en
- Impersonation & Intellectual Property — Chrome Web Store Program Policies — https://developer.chrome.com/docs/webstore/program-policies/impersonation-and-intellectual-property
- Chrome Web Store review process — https://developer.chrome.com/docs/webstore/review-process