Стотици разширения за Chrome, рекламирани като безплатни VPN или прокси инструменти, са свързани с мащабна операция за пренасочване на трафик.

Описанието им обещава поверителност и достъп до блокирани услуги, но кодът им изпраща браузърните сесии през SOCKS5 прокси сървъри, контролирани от злонамерения субект.

Мащабът прави разкритието особено обезпокоително. Изследователите преброяват 737 разширения, публикувани чрез най-малко 40 акаунта на разработчици в Chrome Web Store, с повече от 75 000 общи инсталации.

Много от тях са били насочени към рускоговорящи потребители, търсещи достъп до ограничени сайтове и услуги.

Анализаторите от Socket.dev идентифицираха кампанията, след като проучиха стотици налични пакети с разширения и списъци в магазина.

В доклад, споделен с Cyber Security News (CSN), Socket.dev посочва, че 274 разширения са копирали имената или брандинга на 66 утвърдени VPN услуги и инструменти за поверителност, давайки на жертвите основание да вярват, че инструментите са легитимни.

Изследването не твърди, че операторите са събирали или злоупотребявали с всеки байт от пренасочените данни, но потвърждава, че тяхната инфраструктура е била позиционирана така, че да наблюдава браузърния трафик, докато разширението е свързано.

Основното поведение е директно и широкообхватно. От 522 извлечени пакета, 520 конфигурират Chrome да използва фиксиран SOCKS5 сървър на порт 1082.

Техните правила за изключение обхващат само локални адреси, така че посещенията от всеки раздел на браузъра се изпращат през определения ретранслатор, след като потребителят избере „Свързване“.

Този дизайн разкрива посетените дестинации, метаданните за връзката и IP адреса на източника на потребителя пред оператора на проксито. Обикновените HTTP заявки също биха могли да изложат на показ пълното си съдържание.

Констатацията повтаря предишни доклади за злонамерени VPN разширения за браузъри, които прихващат трафик, докато представят нормално изглеждаща услуга.

Разширенията обикновено изискват само разрешение за прокси, което може да изглежда ограничено за обикновения потребител. Въпреки това, това разрешение може да контролира накъде отива браузърният трафик.

В 104 случая разширенията са разрешавали прокси хостовете чрез криптирани DNS услуги, след което са предоставяли на Chrome необработен адрес, намалявайки видимостта на нормалното търсене на домейн.

Операцията също така е използвала отдалечено конфигуриране в 66 разширения. Кодът е можел да следва уеб пренасочвания, да локализира нов инфраструктурен домейн и да изтегля настройки без необходимост от обновяване на разширението.

Жертвите могат да видят индикатор за успешна връзка и да предположат, че тяхното сърфиране е защитено, дори когато разширението е предало контрола върху маршрутизирането на неизвестна трета страна.

Тази разлика между обещанието на страницата на магазина и действителния мрежов път е основната опасност от кампанията. Тя също така създава удобен начин за профилиране на потребители, които са вярвали, че избягват наблюдение.

Само по себе си прокси настройката не доказва зловреден намес, тъй като инструментите за поверителност, базирани на браузъра, се нуждаят от начин за маршрутизиране на трафика.

Оценката на Socket.dev обаче посочва съпътстващото поведение: копирани марки, обещания за премиум локации, които не се разрешават, подвеждащи твърдения в отзивите и функционалност, добавена след първоначалното одобрение в магазина.

Разследващите откриват 200 рекламирани имена на премиум сървъри в 40 домейна, които не връщат адресни записи. Едно от изследваните разширения е показвало изчистен екран за връзка, но е било кодирано да проваля всеки опит за свързване.

Кампанията също така съдържа документи с ревюта, твърдящи, че никакви данни не отиват към външни сървъри, въпреки кода за прокси маршрутизиране.

Google е премахнал 221 разширения, когато данните са били събрани, но 516 са останали в списъка.

Моделът съответства на упоритостта, наблюдавана при големи кампании със злонамерени разширения, къдито много подобни списъци и отделни акаунти на издатели могат да надживеят индивидуалните премахвания.

Потребителите, които са инсталирали подозрително разширение, трябва да го премахнат, да проверят настройките за прокси на Chrome и да променят идентификационните данни, въведени в сайтове без HTTPS, докато то е било активно.

Организациите трябва да инвентаризират разширенията с достъп до прокси, да наблюдават за промени в настройките на прокситата и да блокират изброените домейни и адреси както на ниво DNS, така и на изхода на мрежата, тъй като криптираният DNS може да заобиколи контролите, базирани само на DNS.