Пентест WEB: практический курс для начинающих
Специалисты компании Socket обнаружили в Chrome Web Store 737 бесплатных VPN- и прокси-расширений, которые в основном были ориентированы на русскоязычных пользователей. Многие из них выдавали себя за известные VPN-сервисы, а весь браузерный трафик жертв направляли через SOCKS5-прокси единственного провайдера.
Эксперты пишут, что расширения распространялись от лица как минимум 40 аккаунтов разработчиков и суммарно насчитывали 75 486 установок. При этом 274 из них имитировали 66 известных брендов, включая Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear, Cloudflare 1.1.1.1 и Google Outline.
По данным Socket, 520 из 522 обнаруженных расширений перенаправляли браузерный трафик жертв через одну и ту же SOCKS5-инфраструктуру. Для этого аддоны меняли chrome.proxy.settings, прописывая фиксированный прокси-сервер на порту 1082. Список исключений содержал только loopback-адреса, поэтому после подключения к такому «VPN» через прокси проходили практически все запросы браузера пользователя.
В результате операторы этой кампании оказывались в позиции man-in-the-middle и могли видеть адреса посещаемых жертвой ресурсов, реальные IP-адреса пользователей, значения TLS SNI, а также содержимое HTTP-запросов.
Еще 104 расширения использовали DNS-over-HTTPS через Cloudflare или Google для разрешения доменов прокси. По мнению исследователей, таким образом операторы этой кампании пытались скрыть свою инфраструктуру от анализа и возможных блокировок.
Эксперты считают, что согласно обнаруженным строкам кода и метаданным, за этой схемой может стоять оператор платного VPN-сервиса «Муха VPN» (Myxa VPN). В частности, на это указывают 12-значный ИНН и случайно забытые в коде Windows-пути с русскоязычной директорией «Документы». Судя по обнаруженной инфраструктуре, сотни расширений работали как воронка привлечения клиентов: некоторые перенаправляли пользователей в Telegram-бот сервиса и предлагали оформить платную подписку.
В Socket объясняют, что сам механизм проксирования трафика принципиально не отличается от работы легитимных VPN- и прокси-сервисов. Главная проблема заключается в обмане пользователей: расширения маскировались под известные бренды, рекламировали несуществующие премиальные серверы, якобы расположенные в Японии, Сингапуре, Канаде, Австралии и Турции, а некоторые даже показывали жертвам полностью фальшивый интерфейс подключения.
Кроме того, исследователи нашли внутреннюю инструкцию «Промт для сотрудников», где разработчикам советовали не указывать домен непосредственно в chrome.proxy.settings, а использовать только его IP-адрес. Также в коде расширений были замечены признаки обхода правил Chrome Web Store: в частности, механизм удаленной конфигурации добавляли уже после того, как расширение проходило модерацию. При этом в заявках на публикацию разработчики утверждали, что данные пользователей не передаются на внешние серверы, и отслеживание их действий не ведется.
На момент публикации отчета экспертов из Chrome Web Store уже удалили 221 расширение, связанное с кампанией, однако еще 516 оставались активными.
К своему отчету исследователи приложили ID всех найденных расширений и теперь рекомендуют пользователям свериться с этим списком, удалить потенциально опасные расширения и убедиться, что настройки прокси в Chrome вернулись к нормальным значениям.
