Más de 737 extensiones de navegador publicadas en Chrome Web Store suplantaban a conocidos servicios de VPN y proxy, mientras redirigían el tráfico de los usuarios a través de proxies SOCKS5 operados por un único proveedor. La investigación, llevada a cabo por la empresa de seguridad de aplicaciones Socket, reveló que algunas de estas extensiones imitaban a decenas de marcas establecidas, incluyendo Proton VPN, NordVPN, Surfshark, ExpressVPN y el resolvedor DNS público 1.1.1.1 de Cloudflare.
La campaña dependía de 40 cuentas de editor y utilizaba una cuenta analítica compartida, según el informe de Socket. Mientras estaban en Chrome Web Store, las extensiones acumularon casi 75,000 descargas, principalmente entre usuarios rusos que buscaban herramientas para eludir servicios bloqueados en su país.
Con todo el tráfico del navegador forzado a través del relé, el servidor del actor de amenazas está posicionado para leer cada destino, cada valor SNI de TLS, la IP de origen de la víctima y cualquier cuerpo de solicitud enviado a través de HTTP plano, explica Socket.
Los investigadores identificaron tres comportamientos sospechosos asociados con la campaña: 520 extensiones configuraban Chrome para enrutar todo el tráfico del navegador a través de proxies SOCKS5 en el puerto 1082; 104 extensiones resolvían sus nombres de host de proxy mediante DNS-over-HTTPS de Cloudflare o Google para proteger el dominio del operador del escrutinio; y algunas extensiones promocionaban servidores premium inexistentes en Japón, Singapur, Canadá, Australia y Turquía para cometer fraude de suscripción.
Socket no pudo analizar el código de todas las extensiones porque 212 de ellas ya habían sido eliminadas cuando los investigadores las recolectaron. Basándose en las cadenas encontradas, la campaña parece ser un intento de atraer clientes hacia un servicio VPN por suscripción en Rusia.
Los investigadores señalaron que el mecanismo utilizado por las extensiones no parece diferente al de un servicio legítimo, pero identificaron varios indicadores de engaño intencional: suplantar marcas conocidas, anunciar ubicaciones de servidores premium inexistentes, mecanismos de pago o conexión no funcionales, divulgaciones engañosas para los revisores de la tienda, agregar configuración remota después de la aprobación de la extensión y el uso de técnicas para ocultar los destinos de los proxies a los análisis.
Socket afirma que, aunque Google eliminó más de 200 extensiones relacionadas con la campaña identificada, más de 500 de ellas siguen disponibles en Chrome Web Store. La compañía ha publicado los identificadores de todas las extensiones vinculadas a la campaña y recomienda a los usuarios que revisen sus navegadores para detectar cualquiera de ellas y las eliminen si las encuentran. También deben confirmar que la configuración de proxy de Chrome haya vuelto a la normalidad.
- Verificar en Chrome Web Store las extensiones instaladas y eliminar las sospechosas.
- Revisar la configuración de proxy del navegador para asegurarse de que no está siendo redirigido.
- Utilizar herramientas de seguridad para escanear extensiones instaladas.
- Considerar el uso de extensiones únicamente de desarrolladores confiables.
- Estar atento a extensiones que imitan marcas conocidas pero con funciones no estándar.
Deja una respuesta