Oltre 737 estensioni per Chrome hanno simulato servizi VPN e proxy noti, indirizzando il traffico degli utenti verso proxy SOCKS5 controllati da un unico operatore. L'attacco ha colpito soprattutto utenti russi in cerca di strumenti per aggirare i blocchi online.
Un'indagine condotta da Socket, azienda specializzata in sicurezza applicativa, ha rivelato che più di 737 estensioni pubblicate sul Chrome Web Store hanno imitato servizi VPN e proxy famosi come Proton VPN, NordVPN, Surfshark, ExpressVPN e Cloudflare's 1.1.1.1. Queste estensioni, scaricate quasi 75.000 volte, hanno principalmente preso di mira utenti russi desiderosi di superare le restrizioni imposte nel Paese.
Come funzionava la campagna e quali rischi comportava
Le estensioni, gestite tramite 40 account publisher e un account analytics condiviso, reindirizzavano tutto il traffico del browser attraverso proxy SOCKS5 su porta 1082, controllati da un unico operatore. Socket ha individuato tre comportamenti sospetti: la modifica della configurazione proxy di Chrome, la risoluzione dei nomi host tramite DNS-over-HTTPS di Cloudflare o Google per nascondere i domini, e la pubblicità di server premium inesistenti in vari Paesi per truffe sugli abbonamenti.
Secondo i ricercatori, il server dell'attaccante poteva intercettare ogni destinazione visitata, i valori TLS SNI, l'indirizzo IP sorgente della vittima e i dati inviati tramite HTTP non cifrato. In molti casi, le estensioni presentavano meccanismi di pagamento o connessione non funzionanti, dichiarazioni fuorvianti per i revisori dello store e tecniche per occultare le destinazioni dei proxy.
Rimozione parziale e raccomandazioni per gli utenti
Socket non ha potuto analizzare tutte le estensioni, poiché 212 erano già state rimosse al momento della raccolta. Tuttavia, ha pubblicato gli ID di tutte le estensioni coinvolte e raccomanda agli utenti di verificare la presenza di questi componenti nei propri browser e di rimuoverli immediatamente. È inoltre consigliato controllare che la configurazione proxy di Chrome sia tornata allo stato normale.
Nonostante Google abbia già eliminato oltre 200 estensioni collegate alla campagna, più di 500 risultano ancora disponibili sullo store. Il fenomeno evidenzia come le tecniche di attacco supply-chain e la manipolazione di componenti software rimangano una minaccia concreta, come già osservato anche in altri casi di compromissione di plugin e componenti, ad esempio nell'attacco supply-chain ai plugin BdThemes per WordPress.
