Źródło: unsplash.com/photos/mT7lXZPjk7U
Badacze wykryli dużą grupę 737 bezpłatnych rozszerzeń VPN i proxy dla przeglądarki Chrome. Dodatki były kierowane głównie do rosyjskojęzycznych użytkowników szukających sposobu na dostęp do blokowanych usług. Ich działanie polegało na przechwyceniu ruchu przeglądarki i przekierowaniu go przez infrastrukturę proxy obsługiwaną przez jeden podmiot. Według analizy firmy Socket rozszerzenia zebrały łącznie 75 486 instalacji.
Rozszerzenia były publikowane za pośrednictwem co najmniej 40 kont deweloperskich w Chrome Web Store. Wśród zidentyfikowanych dodatków 274 podszywały się pod 66 istniejących marek związanych z VPN i ochroną prywatności. Na liście znalazły się między innymi Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear, usługa 1.1.1.1 firmy Cloudflare oraz Google Outline. Kluczowym problemem nie było samo oferowanie połączenia proxy, lecz ukryta konfiguracja i przedstawianie dodatków jako produktów innych firm.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Protokół proxy, który przekazuje ruch aplikacji przez zewnętrzny serwer. W badanych rozszerzeniach służył do kierowania całych sesji przeglądarki przez wskazaną infrastrukturę.
AitM to atak, w którym napastnik pośredniczy w komunikacji użytkownika z prawdziwą usługą, aby przechwycić dane uwierzytelniające lub sesję.
Informacja przekazywana podczas nawiązywania połączenia TLS, wskazująca nazwę hosta, z którym przeglądarka chce się połączyć.
Jak ustalił badacz bezpieczeństwa Kush Pandya, rozszerzenia omijały zwykły model, w którym użytkownik świadomie wybiera dostawcę VPN. Zamiast tego konfigurowały ustawienia proxy Chrome tak, aby cała sesja przeglądania przechodziła przez stały serwer SOCKS5. Lista wyjątków obejmowała wyłącznie adresy lokalne, takie jak localhost i 127.0.0.1. Pozostałe żądania przeglądarki były przekazywane do zewnętrznego przekaźnika po nawiązaniu połączenia z usługą przedstawianą jako VPN.
Taka konfiguracja stawiała operatora infrastruktury w pozycji adversary-in-the-middle, czyli pośrednika znajdującego się pomiędzy użytkownikiem a odwiedzanymi usługami. Z analizy wynika, że operator mógł obserwować odwiedzane miejsca docelowe, źródłowe adresy IP, wartości TLS SNI oraz treść żądań przesyłanych przez zwykły, nieszyfrowany HTTP. Nie było natomiast możliwe rozstrzygnięcie na podstawie samego kodu rozszerzeń, czy wskazane serwery należały bezpośrednio do operatora, czy też była to odsprzedawana infrastruktura zewnętrznego dostawcy. W drugim przypadku w tej samej pozycji pośrednika znajdowałby się także taki dostawca.
Badacze wskazali, że część aktywności może być powiązana z rosyjskim biznesem subskrypcyjnym oferującym usługi VPN. Wnioski te oparto między innymi na numerze podatnika oraz śladach pozostawionych w pakietach rozszerzeń, w tym na ścieżkach środowiska deweloperskiego. Nie przesądza to jednak o własności całej infrastruktury proxy. Ustalonymi elementami sprawy są podszywanie się pod marki, nieujawniona konfiguracja proxy, deklarowanie nieistniejących serwerów premium, fałszywe informacje przekazywane podczas weryfikacji sklepowej oraz podmiana kodu po zatwierdzeniu dodatków.
Użytkownicy Chrome powinni sprawdzić listę zainstalowanych rozszerzeń, zwłaszcza dodatków VPN i proxy, oraz zweryfikować ich nazwę, autora i zgodność z oficjalną stroną deklarowanej usługi. Sam fakt obecności rozszerzenia w sklepie nie powinien być traktowany jako pełna gwarancja bezpieczeństwa. W przypadku dodatków podszywających się pod znane marki rozsądne jest ich usunięcie i skorzystanie wyłącznie z potwierdzonych kanałów dystrybucji.
W tym samym kontekście bezpieczeństwa rozszerzeń Chrome firma Netskope Threat Labs opisała powrót dodatku AI Sidebar with Deepseek, ChatGPT, Claude, and more. Rozszerzenie zostało wcześniej usunięte ze sklepu za działania określane jako Prompt Poaching. Po ponownym udostępnieniu otrzymało najpierw czystą aktualizację, a następnie zmiany rozpowszechnione w wersjach 1.7.2.0 i 1.7.3.0 za pośrednictwem sieci dostarczania treści Google CRX, 31 lipca 2026 roku. Nowy, 21-liniowy dodatek nie zawierał już kodu wykradającego rozmowy, lecz uruchamiał link afiliacyjny na pierwszym planie przy każdej aktualizacji i deinstalacji rozszerzenia. Jednocześnie blokował przekierowanie użytkowników DeepSeek do ChatGPT. Przypadek ten pokazuje, że ocena dodatku musi uwzględniać także późniejsze aktualizacje, a nie tylko kod dostępny w momencie instalacji.
Brak komentarzy. Bądź pierwszy!