Stotine Chrome VPN dodataka preusmeravale saobraćaj kroz SOCKS5 proksije
Bezbednosni istraživači kompanije Socket identifikovali su 737 besplatnih VPN i proxy dodataka za Google Chrome sa ukupno 75.486 instalacija, namenjenih pretežno korisnicima koji govore ruski i pokušavaju da pristupe blokiranim servisima. Od tog broja, 274 dodatka predstavljala su se kao 66 poznatih VPN i privatnosnih brendova, među kojima su Proton VPN, NordVPN, Surfshark, AdGuard VPN, ExpressVPN, Cloudflare 1.1.1.1 i Google Outline.
Najvažniji nalaz je da je 520 od 522 dodatka iz analiziranog skupa usmeravalo saobraćaj pregledača kroz istu SOCKS5 infrastrukturu. Velika većina je menjala postavku chrome.proxy.settings tako da koristi unapred određeni SOCKS5 server na portu 1082.
Posrednik između korisnika i veba
Takvo podešavanje postavlja operatera proksija u poziciju posrednika između korisnika i odredišnog servisa. Dok je dodatak povezan, kroz server pod kontrolom aktera prolaze svi zahtevi pregledača, osim onih ka lokalnim adresama. Lista izuzetaka obuhvatala je samo loopback adrese, poput localhosta i 127.0.0.1.
Prema nalazu Socketovog istraživača Kush-a Pandye, operater može da posmatra odredišta pregledača, izvornu IP adresu, TLS SNI vrednosti i sadržaj zahteva koji se šalju nezaštićenim HTTP-om. Sama upotreba proksija nije nužno neuobičajena za VPN uslugu, ali je ovde ključan problem prikrivena konfiguracija i predstavljanje pod imenima postojećih brendova.
Imitacija brenda i izmene nakon odobrenja
Među dodatnim signalima rizika istraživači navode oglašavanje plaćenih nivoa i premium lokacija koje ne postoje, pokušaje zaobilaženja blok-lista za DNS-over-HTTPS, kao i slučajeve u kojima je interfejs prikazivao animaciju povezivanja i status rada, iako su pokušaji konekcije neuspešni.
U paketima su pronađeni komentari koji ukazuju na izbegavanje pravila Chrome Web Store-a, kao i interni dokument sa uputstvima da se u konfiguraciju ne unosi domen direktno, već samo razrešena IP adresa. Istraživači su takođe zabeležili dodavanje sloja udaljene konfiguracije posle odobravanja dodatka i identična obrazloženja poslata prilikom provere, uključujući tvrdnje da se podaci ne šalju spoljnim serverima i da nema praćenja ili beleženja korisnika.
Google je iz Chrome Web Store-a uklonio 221 identifikovani dodatak, dok je 516 ostalo aktivno. Rizik ekstenzija za pregledače ostaje važan i uz šire bezbednosne propuste u Chrome ekosistemu, uključujući ranjivosti Chrome-a i napade na SaaS i DNS koje pokazuju koliko je redovno ažuriranje pregledača važno za organizacije.
Šta organizacije mogu da provere
Za poslovne timove praktičan korak je inventar svih dodataka instaliranih u pregledačima, posebno onih koji traže dozvole za upravljanje proxy podešavanjima. Potrebno je proveriti izdavača, naziv dodatka, dozvole i način na koji se VPN ili proxy nabavlja, a ne oslanjati se samo na prepoznatljiv logo ili naziv usluge.
Centralno upravljanje ekstenzijama i jasna pravila za odobravanje VPN alata smanjuju mogućnost da neprovereni dodatak preusmeri radni saobraćaj kroz nepoznatu infrastrukturu. Posebnu pažnju treba posvetiti dodacima koji obećavaju pristup blokiranim sadržajima ili nepostojećim premium lokacijama, jer je u ovom slučaju imitacija legitimnih proizvoda bila sastavni deo obrasca aktivnosti.