Chrome Web Store обнаружена сеть из 737 поддельных VPN-расширений, перехватывающих трафик пользователей

Кампания по распространению поддельных VPN-расширений охватила 737 позиций в Chrome Web Store. Все они были опубликованы как минимум с 40 аккаунтов разработчиков и в сумме набрали более 75 тысяч установок. Расширения маскируются под известные бренды VPN-сервисов, однако на деле направляют весь браузерный трафик через прокси-серверы, подконтрольные злоумышленникам.

Описание

Согласно полученным данным, 274 расширения имитируют 66 реальных брендов, среди которых Proton VPN, NordVPN, Surfshark, ExpressVPN, AmneziaVPN, AntiZapret и т.д. Большинство расширений ориентированы на русскоязычных пользователей: 690 из 734 доступных для анализа имеют русскоязычные названия или описания. Целевая аудитория - люди, пытающиеся получить доступ к заблокированным в России сервисам, таким как Instagram*, ChatGPT и YouTube. Установки распределены неравномерно: 58 тысяч из всех установок приходятся на 516 расширений, которые оставались активными на момент сбора данных.

Исследование Socket показало, что 520 из 522 расширений, чей код удалось получить, используют идентичную схему. После нажатия кнопки подключения расширение настраивает браузер на отправку всех запросов через фиксированный прокси-сервер. При этом список исключений содержит только локальные адреса, то есть абсолютно весь трафик пользователя проходит через инфраструктуру злоумышленника. В результате оператор прокси может видеть посещаемые сайты, запросы к ним и даже данные, которые пользователь вводит на сайтах без шифрования. Показательно, что разработчики расширений применили несколько уловок для сокрытия своей деятельности. Часть расширений использует зашифрованные запросы к системе доменных имён, чтобы избежать обнаружения при анализе сетевого трафика. Другие получили обновления уже после публикации, добавив удалённую конфигурацию, которая не была проверена модераторами.

Отдельного внимания заслуживает платный тариф. Расширения рекламируют серверы в Японии, Сингапуре, Канаде, Австралии и Турции, однако ни один из 200 обещанных адресов не существует. Проверка системы доменных имён показала, что все премиум-серверы не отвечают на запросы, то есть их физически нет. Более того, у части расширений вообще отсутствует работающий бесплатный тариф, а у некоторых кнопка подключения всегда выдаёт ошибку. При этом на сайтах, связанных с кампанией, продаётся подписка на "VPN в браузере" от 99 рублей в месяц. Оплата приёма не даёт никакого доступа к серверам, так как их просто не существует. В одном из расширений разработчики оставили комментарий, в котором обсуждали, как обойти политику Chrome Web Store, если проверка отклонит автоматическое открытие ссылок на Telegram-бота.

// Открываем Telegram-бота при первой установке

// ВАЖНО: Это происходит только один раз при установке (onboarding процесс)

// Popup расширения открывается только по клику на иконку (не программно)

// Если Chrome Web Store отклонит из-за автоматического открытия ссылок,

// можно заменить на уведомление с предложением перейти в Telegram-бота

setTimeout(() => {

// Открываем Telegram-бота в новой вкладке

// Примечание: Для chrome.tabs.create с внешними URL может потребоваться разрешение "tabs"

// Если возникнут проблемы, можно добавить "tabs" в permissions в manifest.json

chrome.tabs.create({

url: 'hxxps://t.me/myxavpn_bot',

active: true

}).catch((error) => {

Все расширения принадлежат одной операции. Об этом свидетельствует множество признаков: совпадение названий брендов, использование одних и тех же адресов и доменов, а также единая инфраструктура. В коде 360 расширений упоминается "официальный VPN-провайдер Myxa VPN" (в латинской и кириллической записи). Кроме того, в 43 пакетах случайно остался путь к папке на компьютере разработчика, указывающий на единую сборочную среду (C:\Users\ollob\OneDrive\Документы\1.myxa-work\08.06.26\<domain>\<product>\<product>-release.zip). Анализ доменов показал, что они зарегистрированы массово, в течение нескольких секунд, и размещены на одних и тех же серверах. Судя по всему, за кампанией стоит бизнес, продающий подписку на VPN. В публичной оферте указан действующий самозанятый, зарегистрированный в налоговой. Однако связать его личность с конкретным человеком без официального расследования невозможно.

Google уже удалила 221 из 737 расширений, включая большинство из тех, на которые ранее указывали другие исследователи. Тем не менее оставшиеся 516 расширений продолжают работать. Более того, если сравнить код удалённых и живых расширений, видно, что многие из них построены по одной и той же схеме. Например, одно удалённое расширение было членом группы из 51 структурно идентичного расширения, но только оно попало под блокировку. Остальные 50 до сих пор доступны для установки. Это говорит о том, что злоумышленники быстро восполняют потери и продолжают действовать.

Пользователям, которые устанавливали подобные расширения, рекомендуется немедленно удалить их и проверить настройки прокси в браузере. Если во время работы расширения выполнялся вход на сайты без защищённого соединения, пароли и другие данные стоит считать скомпрометированными. Прежде чем устанавливать VPN-расширение, важно убедиться, что его издатель действительно является владельцем бренда, поскольку подделки могут полностью копировать оформление известных сервисов. Разработчикам стоит внимательнее относиться к запросам разрешения на управление прокси, так как это позволяет перенаправлять весь трафик. Для корпоративных служб безопасности актуальна блокировка известных адресов прокси-серверов и регулярная инвентаризация расширений в браузерах сотрудников. Кампания показывает, что Chrome Web Store не всегда способен быстро выявлять масштабные схемы мошенничества, поэтому бдительность остаётся ключевым фактором защиты.

* Компания Meta и её продукты (включая Instagram, Facebook, Threads, Meta AI) признаны экстремистскими, их деятельность запрещена на территории РФ.