U Chrome Web Store-u otkrivene stotine lažnih VPN ekstenzija

Vesti, 13.08.2026, 12:00 PM

Stotine ekstenzija objavljenih u Chrome Web Store-u predstavljale su se kao poznati VPN i proxy servisi, dok su internet saobraćaj korisnika preusmeravale preko SOCKS5 proxy servera povezanih sa istim operaterom.

Istraživači kompanije Socket otkrili su ukupno 737 ekstenzija koje su imitirale desetine poznatih servisa, među kojima su Proton VPN, NordVPN, Surfshark, ExpressVPN i Cloudflareov 1.1.1.1 DNS servis.

Ekstenzije su objavljivane preko 40 različitih naloga izdavača, ali su koristile zajednički analitički nalog, što ih je povezalo sa istom kampanjom.

Pre nego što su otkrivene, preuzete su gotovo 75.000 puta. Većinu korisnika činili su ljudi iz Rusije koji su tražili načine da pristupe servisima blokiranim u toj zemlji.

Iako su na prvi pogled izgledale i funkcionisale poput legitimnih VPN ili proxy ekstenzija, iza njih se nalazila infrastruktura koja nije pripadala kompanijama čija su imena i brendove koristile.

Istraživači su utvrdili da je 520 ekstenzija podešavalo Chrome tako da kompletan saobraćaj iz pregledača usmerava preko SOCKS5 proxy servera operatera na portu 1082.

Takva pozicija omogućava operateru proxy servera da vidi koje destinacije korisnik posećuje, TLS SNI podatke i njegovu izvornu IP adresu, kao i sadržaj zahteva koji se šalju preko nešifrovanog HTTP-a. Sadržaj HTTPS komunikacije, međutim, ostaje zaštićen TLS enkripcijom.

Još 104 ekstenzije koristile su Cloudflare ili Google DNS-over-HTTPS za razrešavanje adresa svojih proxy servera, što je otežavalo otkrivanje i blokiranje infrastrukture koju su koristili njihovi operateri.

Pojedine ekstenzije reklamirale su i premium servere u Japanu, Singapuru, Kanadi, Australiji i Turskoj koji zapravo nisu postojali. Korisnicima su nuđene plaćene pretplate za pristup tim lokacijama.

Istraživači su pronašli i druge pokazatelje da nije reč samo o neobično dizajniranom VPN servisu. Među njima su imitiranje poznatih brendova, nefunkcionalni mehanizmi za plaćanje ili povezivanje, obmanjujuće informacije dostavljene tokom provere u Chrome Web Store-u i dodavanje mogućnosti daljinske konfiguracije nakon što je ekstenzija već odobrena.

Kod je sadržao i komentare koji ukazuju na pokušaje izbegavanja pravila Chrome Web Store-a. Prilikom slanja ekstenzija na proveru korišćena su gotovo identična obrazloženja sa tvrdnjama poput „podaci se ne šalju eksternim serverima“ i „nema praćenja niti evidentiranja korisnika“.

Socket nije uspeo da analizira svih 737 ekstenzija jer je 212 već bilo uklonjeno u trenutku kada su započeli istraživanje.

Na osnovu pronađenih podataka, istraživači smatraju da je jedan od ciljeva kampanje bio usmeravanje korisnika ka VPN servisu sa pretplatom namenjenom ruskom tržištu.

Google je uklonio više od 200 ekstenzija povezanih sa kampanjom, dok je, prema podacima koje je Socket objavio u vreme istraživanja, više od 500 i dalje bilo dostupno u Chrome Web Store-u.

Socket je objavio identifikacione oznake svih ekstenzija povezanih sa kampanjom i preporučio korisnicima da provere da li je neka od njih instalirana u njihovom pregledaču. Ako je pronađu, trebalo bi da je uklone i provere da li su proxy podešavanja Chrome-a vraćena na podrazumevane vrednosti.