Das Threat Research Team des Sicherheitsunternehmens Socket deckt groß angelegte Malware-Kampagne mit 737 Erweiterungen auf kostenlose VPN- und Proxy-Dienste, veröffentlicht im Chrome Web Store.

274 dieser Erweiterungen wurden über etwa vierzig verschiedene Entwicklerkonten veröffentlicht und gaben 66 vertrauenswürdige Marken wie NordVPN, Proton VPN, Surfshark oder Cloudflare aus. Sie haben mehr als 75.000 Installationen gesammelt.

Erweiterungen zur Verkehrsumleitung

Die Analyse von 522 dieser Erweiterungen ergab, dass 520 von ihnen die Einstellung ändern chrome.proxy.settings um zu erzwingen, dass der gesamte Browserverkehr über einen festen SOCKS5-Proxyserver an Port 1082 geleitet wird. Ein Setup für einen Adversary-in-the-Middle-Angriff.

Der böswillige Akteur kann somit „ Lesen Sie jedes Ziel, jeden TLS-SNI-Wert, die Quell-IP-Adresse des Opfers und den gesamten Text der über Klartext-HTTP gesendeten Anforderungen „, warnt der Socket-Bericht.

Die Bypass-Liste enthält nur lokale Adressen wie localhostum sicherzustellen, dass der gesamte externe Datenverkehr abgefangen wird.

Hinweise auf böswillige Absicht

Wenn der Proxy-Mechanismus dem eines legitimen Dienstes ähneln könnte, verraten mehrere Elemente sein eigentliches Ziel.

Die Forscher stellten insbesondere fest, dass die Premium-Angebote mit Servern in Japan oder Kanada völlig fiktiv waren. Keine der 200 passenden Subdomains funktionierte. Darüber hinaus verwendeten die Erweiterungen Umgehungstechniken, um Domänen vor ihren Servern zu verbergen.

Einige Erweiterungen fügten Remote-Konfigurationsebenen erst nach der Genehmigung hinzu durch den Chrome Web Store, was einen eklatanten Verstoß gegen die Regeln darstellt.

Entwickler übermittelten den Google-Rezensenten auch identische und irreführende Begründungen und behaupteten beispielsweise: „ Es werden keine Daten an externe Server übertragen „, obwohl der Kern ihres Produkts ein externer Proxy ist.

Eine russischsprachige Bevölkerung wurde hauptsächlich ins Visier genommen

Benutzer, die glaubten, ein Schutztool zu installieren, gaben in Wirklichkeit ihre sensiblen Daten preis. Zum Zeitpunkt der Veröffentlichung des Berichts hatte Google 221 der identifizierten betrügerischen Erweiterungen entfernt, mehr als 500 waren jedoch weiterhin aktiv.

In einem Blogbeitrag werden die Indikatoren für Kompromisse detailliert beschrieben. Laut Socket richteten sich die Erweiterungen vor allem an russischsprachige Nutzer auf der Suche nach Lösungen zur Umgehung der Zensur.