Riesgo de privacidad en extensiones VPN de Chrome
Recientemente, se ha descubierto que 737 extensiones gratuitas de VPN y proxy en Chrome están diseñadas principalmente para usuarios de habla rusa que buscan eludir restricciones de acceso a servicios bloqueados. Estas extensiones, disponibles en al menos 40 cuentas de desarrollador en la Chrome Web Store, han acumulado más de 75,000 instalaciones.
De las extensiones analizadas, 274 han sido identificadas como falsificaciones de 66 marcas de VPN y privacidad reconocidas, entre las que se incluyen Proton VPN, NordVPN, Surfshark y ExpressVPN, según un estudio realizado por Socket. Estas extensiones de elusión de censura redirigen la sesión completa del navegador a través de proxies SOCKS5 gestionados por un único proveedor, lo que significa que el 99% de las extensiones en cuestión son parte de la misma infraestructura SOCKS5.
Funcionamiento de las extensiones maliciosas
Las extensiones comprometidas establecen la configuración de proxy del navegador a un servidor SOCKS5 fijo en el puerto 1082, colocando al actor amenazante en una posición de intermediario para espiar destinos de navegación, direcciones IP de origen y otros datos sensibles enviados a través de HTTP. Además, cada extensión incluye una lista de excepciones que solo contiene direcciones de bucle invertido, de modo que todas las demás solicitudes se dirigen a través del relay SOCKS5 una vez que el usuario se conecta al servicio VPN.
Hasta el momento, 221 complementos han sido eliminados de la Chrome Web Store, mientras que 516 siguen activos. Se sospecha que el operador de estas extensiones está vinculado a un negocio de VPN de suscripción en Rusia, evidenciado por un número de contribuyente de 12 dígitos y por la filtración de rutas de compilación de Windows en algunos de sus complementos.
Indicadores de actividad sospechosa
La actividad de estas extensiones no se diferencia funcionalmente de los servicios legítimos de VPN o proxy, sin embargo, el aspecto más preocupante es su intento de suplantar marcas establecidas en lugar de operar bajo su propio nombre. Existen varios indicadores que sugieren actividad maliciosa, incluyendo: - Publicidad de niveles de pago que no existen. - Evasión de listas de bloqueo DNS sobre HTTPS. - Fallos en los intentos de conexión, mostrando una interfaz completamente falsa con animaciones de conexión. - Instrucciones internas que indican cómo evitar incluir el dominio directamente en la configuración de proxy del navegador.
Conclusión
Cada usuario afectado, mientras la extensión esté activa, tiene su tráfico redirigido a través de un servidor controlado por el actor malicioso. La naturaleza exacta de su operación, si poseen los servidores proxy o los revenden, no se puede determinar solo a partir del código de la extensión. Sin embargo, está claro que se están produciendo intentos de engañar a los revisores de la Chrome Web Store.
La aparición de extensiones como estas subraya la importancia de revisar las herramientas instaladas en el navegador y de optar por soluciones de seguridad confiables. Se aconseja a los usuarios verificar si tienen alguna de estas extensiones en su navegador para proteger su privacidad en línea.