Раскрыта сеть из 737 поддельных VPN-расширений для Chrome
Команда киберугроз компании Socket обнаружила в Chrome Web Store масштабную сеть поддельных VPN-расширений. Результаты исследования опубликовали и подтвердили несколько профильных изданий, включая The Hacker News, TechRadar и gHacks.
Что нашли исследователи
- 737 бесплатных VPN- и прокси-расширений, опубликованных минимум с 40 аккаунтов разработчиков в Chrome Web Store.
- 274 из них маскировались под известные и легитимные бренды — Proton VPN, NordVPN, Surfshark, ExpressVPN, CyberGhost, Windscribe, TunnelBear, Cloudflare 1.1.1.1, Google Outline, а также AmneziaVPN и AntiZapret.
- Суммарно расширения набрали более 75 000 установок, в основном среди русскоязычных пользователей, искавших доступ к заблокированным сервисам вроде Instagram, ChatGPT и YouTube.
- К моменту публикации исследования Google успела удалить лишь 221 расширение из 737 — остальные 516 оставались доступны в сторе.
Как это работало
При нажатии «Подключиться» расширения перенаправляли весь трафик браузера через прокси-сервер, контролируемый одним и тем же оператором, — без какого-либо реального шифрования. То есть вместо защиты пользователь получал ровно противоположное: весь просматриваемый трафик становился виден оператору расширения.
Часть расширений продавала «премиум»-доступ к серверам, которых физически не существовало: из 200 проверенных исследователями адресов премиум-серверов ни один не отвечал на технический запрос.
Кто за этим стоит
По утёкшим путям сборки, общим аналитическим идентификаторам и кластерам зарегистрированных доменов Socket связала сеть расширений с российским VPN-сервисом, работающим под брендом «Муха VPN» (Myxa VPN). В части расширений напрямую фигурировало упоминание этого поставщика как источника «премиум»-доступа.
Что делать, если вы установили одно из таких расширений
Если у вас установлено расширение с похожим на известный бренд названием, но вы не уверены в его происхождении:
- Удалите расширение немедленно.
- Проверьте настройки прокси в браузере — они должны вернуться к значениям по умолчанию.
- Смените пароли, которые вводили на сайтах без HTTPS, пока расширение было активно.
Официальные VPN-сервисы, как правило, не распространяются исключительно через безымянные расширения без привязки к основному приложению и сайту компании — при выборе сервиса стоит проверять, что расширение или приложение действительно опубликовано владельцем официального домена, а не сторонним разработчиком под похожим названием.
