Cientos de extensiones de Chrome que se anunciaban como herramientas gratuitas de VPN o proxy han sido vinculadas a una operación masiva de redirección de tráfico. Aunque prometían privacidad y acceso a servicios bloqueados, su código enviaba las sesiones del navegador a través de servidores proxy SOCKS5 controlados por los atacantes. La magnitud del hallazgo es alarmante, ya que los investigadores identificaron un total de 737 extensiones implicadas en esta actividad.

Cientos de extensiones de Chrome anunciadas como herramientas gratuitas de VPN o proxy han sido vinculadas a una gran operación de redirección de tráfico.

Los anuncios prometían privacidad y acceso a servicios bloqueados, pero su código enviaba las sesiones del navegador a través de servidores proxy SOCKS5 controlados por la operación.

La escala hace que el descubrimiento sea especialmente preocupante. Los investigadores contaron 737 extensiones publicadas a través de al menos 40 cuentas de desarrollador de Chrome Web Store, con más de 75,000 instalaciones combinadas.

Muchas estaban dirigidas a usuarios de habla rusa que buscaban acceso a sitios y servicios restringidos.

Los analistas de Socket.dev identificaron la campaña después de examinar cientos de paquetes de extensiones y listados en la tienda disponibles.

Socket.dev dijo en un informe que descubrieron que 274 extensiones copiaban los nombres o la marca de 66 servicios de VPN y privacidad establecidos, dando a las víctimas una razón para creer que las herramientas eran legítimas.

La investigación no afirma que los operadores recolectaran o malutilizaran cada byte de datos enrutados, pero confirma que su infraestructura ocupaba una posición para observar el tráfico del navegador mientras una extensión estaba conectada.

737 extensiones falsas de VPN para Chrome secuestran el tráfico del navegador

El comportamiento central era directo y extenso. De 522 paquetes recuperados, 520 configuraban Chrome para usar un servidor SOCKS5 fijo en el puerto 1082.

Sus reglas de omisión cubrían solo direcciones locales, por lo que las visitas de cada pestaña del navegador se enviaban a través del relevo designado después de que el usuario seleccionara "Conectar".

Ese diseño expone los destinos visitados, los metadatos de la conexión y la dirección IP de origen del usuario al operador del proxy. Las solicitudes HTTP simples también podrían exponer su contenido completo.

El hallazgo recuerda informes anteriores sobre extensiones de navegador VPN maliciosas que interceptaban el tráfico mientras presentaban un servicio de apariencia normal.

Las extensiones generalmente solicitaban solo el permiso de proxy, que puede parecer limitado para un instalador casual. Sin embargo, ese permiso puede controlar hacia dónde va el tráfico del navegador.

En 104 casos, las extensiones resolvían los hosts de proxy a través de servicios de DNS cifrados y luego proporcionaban a Chrome una dirección raw, reduciendo la visibilidad de una búsqueda de dominio normal.

La operación también utilizó configuración remota en 66 extensiones. El código podía seguir redirecciones web, localizar un nuevo dominio de infraestructura y descargar ajustes sin necesidad de una actualización de la extensión.

Un uso similar de ajustes remotos apareció en una campaña de vigilancia de VPN gratuitas, subrayando por qué una extensión aprobada aún puede cambiar su perfil de riesgo más tarde.

Es posible que veas un indicador de conexión exitosa y asumas que tu navegación está protegida, incluso cuando la extensión ha entregado el control del enrutamiento a un tercero desconocido.

Esta brecha entre la promesa en la página de la tienda y la ruta de red real es el peligro central de la campaña. También crea una vía útil para perfilar a usuarios que creían estar evitando la vigilancia.

Suplantación, evasión y protección del usuario

La configuración del proxy por sí sola no prueba una intención maliciosa, ya que las herramientas de privacidad basadas en el navegador necesitan una forma de enrutar el tráfico.

La evaluación de Socket.dev apunta, en cambio, al comportamiento circundante: marcas copiadas, promesas de ubicaciones premium que no se resolvieron, declaraciones de reseñas engañosas y funcionalidades añadidas después de la aprobación inicial de la tienda.

Los investigadores encontraron 200 nombres de servidores premium anunciados en 40 dominios que no devolvieron ningún registro de dirección. Una extensión examinada mostraba una pantalla de conexión pulida pero estaba programada para fallar en cada intento de conexión.

La campaña también contenía documentos de revisión que afirmaban que ningún dato iba a servidores externos, a pesar del código de enrutamiento por proxy.

Google había eliminado 221 extensiones cuando se recopilaron los datos, pero 516 permanecían listadas.

El patrón es consistente con la persistencia vista en grandes campañas de extensiones maliciosas, donde muchos listados similares y cuentas de editores separadas pueden sobrevivir a eliminaciones individuales.

Los usuarios que hayan instalado una extensión sospechosa deben eliminarla, revisar los ajustes de proxy de Chrome y cambiar las credenciales introducidas en sitios que no usen HTTPS mientras la extensión estaba activa.

Las organizaciones deben inventariar las extensiones con acceso a proxy, vigilar los cambios en la configuración del proxy y bloquear los dominios y direcciones listados tanto en el DNS como en la salida de red, ya que el DNS cifrado puede saltarse los controles exclusivos de DNS.

Realizar comprobaciones periódicas de los riesgos de abuso de permisos de extensiones puede ayudar a los equipos a detectar amenazas similares antes de que se propaguen.

Fuentes:
https://cybersecuritynews.com/fake-chrome-vpn-extensions/