- Ευρεία επιχείρηση παραπλάνησης εντόπισε η Socket.dev σε 737 επdенσεις VPN του Chrome.
- Εκατοντάδες επεκτάσεις δρομολογούσαν την κίνηση των χρηστών μέσω κρυφών SOCKS5 proxy server.
- Περισσότεροι από 75.000 χρήστες εγκατέστησαν τα κακόβουλα εργαλεία, τα οποία συχνά μιμούνταν γνωστές υπηρεσίες.
Μηχανισμός λειτουργίας και proxies
Η ομάδα αναλυτών της Socket.dev αποκάλυψε μια τεράστια επιχείρηση όπου 737 επεκτάσεις του Chrome μεταμφιέζονταν σε δωρεάν εργαλεία VPN και proxy. Αντί να προσφέρουν ανωνυμία, οι 520 από τις 522 εξετασμένες επεκτάσεις ρύθμιζαν στα μουλωχτά το πρόγραμμα περιήγησης ώστε να διοχετεύει την κίνηση μέσω σταθερών SOCKS5 proxy server στη θύρα 1082.
Όπως επισημαίνει η σχετική έρευνα ασφαλείας του Cyber Security News, οι επιτιθέμενοι εκμεταλλεύονταν τα δικαιώματα διαχείρισης δικτύου που ζητά μια τυπική επέκταση. Ουσιαστικά, κάθε φορά που πατούσες το κουμπί σύνδεσης, τα δεδομένα σου περνούσαν από υποδομές τρίτων, εκθέτοντας τη διεύθυνση IP σου και το ιστορικό περιήγησης σε αδιάκριτα μάτια.
Αξίζει να σημειωθεί ότι σε τουλάχιστον 104 περιπτώσεις, οι επεκτάσεις χρησιμοποιούσαν κρυπτογραφημένες υπηρεσίες DNS για να αποκρύψουν την επικοινωνία με τους διακομιστές τους. Σύμφωνα με τις τεχνικές αναφορές της Socket.dev, αυτή η τακτική καθιστά εξαιρετικά δύσκολο τον εντοπισμό της διαρροής από τα παραδοσιακά εργαλεία παρακολούθησης δικτύου.
Μίμηση brands και fake υποδομή
Η απειλή δεν περιοριζόταν απλώς σε έναν κρυφό proxy. Οι δημιουργοί της καμπάνιας χρησιμοποίησαν 40 διαφορετικούς λογαριασμούς προγραμματιστών στο Chrome Web Store για να δημοσιεύσουν τα εργαλεία, στοχεύοντας κυρίως ρωσόφωνους χρήστες που αναζητούσαν τρόπους παράκαμψης περιορισμών. Περισσότερες από 274 επεκτάσεις αντέγραψαν τα ονόματα και τα λογότυπα 66 γνωστών υπηρεσιών VPN, όπως αποκαλύπτει η ανάλυση της Socket.dev.
Εμείς στο TechNoid παρατηρούμε συχνά ότι τέτοιες καμπάνιες βασίζονται σε “κενές” υποδομές. Οι ερευνητές ανακάλυψαν 200 διαφημιζόμενα premium σημεία σύνδεσης που οδηγούσαν σε ανύπαρκτες διευθύνσεις IP, ενώ ορισμένες επεκτάσεις απλώς απέτυχαν τεχνητά σε κάθε προσπάθεια σύνδεσης, διατηρώντας παράλληλα ενεργή τη δρομολόγηση της κίνησης.
Ενώ η Google είχε ήδη αφαιρέσει 221 από αυτές τις επεκτάσεις κατά τη στιγμή της έρευνας, άλλες 516 παρέμεναν ενεργές στο κατάστημα. Το γεγονός αυτό επιβεβαιώνει όσα γράψαμε πρόσφατα σχετικά με το πόσο εύκολα τα κακόβουλα πρόσθετα εκμεταλλεύονται τα κενά ασφαλείας του browser.
Τι πρέπει να κάνεις τώρα
Αν είσαι από τους χρήστες που εγκαθιστούν τυχαία δωρεάν VPN για να παρακάμψουν γεωγραφικούς περιορισμούς, ήρθε η ώρα για έναν αυστηρό έλεγχο ασφαλείας. Ακολούθησε τα παρακάτω βήματα για να καθαρίσεις το σύστημά σου:
- Άνοιξε το Google Chrome και πληκτρολόγησε
chrome://extensionsστη γραμμή διευθύνσεων. - Εντόπισε και αφαίρεσε αμέσως οποιοδήποτε άγνωστο ή ύποπτο VPN/proxy πρόσθετο.
- Έλεγξε τις ρυθμίσεις δικτύου του λειτουργικού σου συστήματος για τυχόν μη εξουσιοδοτημένες ρυθμίσεις SOCKS5 proxy.
- Άλλαξε αμέσως τους κωδικούς πρόσβασης σε κρίσιμους λογαριασμούς που επισκέφθηκες όσο το VPN ήταν ενεργό.
Η άποψή μας στο TechNoid
Η υπόθεση των 737 ψεύτικων VPN αποδεικνύει για πολλοστή φορά ότι το μοντέλο ελέγχου του Chrome Web Store χωλαίνει σοβαρά. Όταν η Google επιτρέπει σε δεκάδες λογαριασμούς να ανεβάζουν κλώνους γνωστών εφαρμογών με ενσωματωμένα κρυφά proxies, το πρόβλημα παύει να είναι μεμονωμένο και γίνεται συστημικό. Στο TechNoid πιστεύουμε ακράδαντα ότι η εποχή που εμπιστευόμασταν τυφλά δωρεάν επεκτάσεις για την ασφάλειά μας έχει περάσει ανεπιστρεπτί. Αν χρειάζεσαι πραγματική προστασία της ιδιωτικότητάς σου, επένδυσε σε έναν καταξιωμένο, συνδρομητικό πάροχο VPN με ανοιχτό κώδικα και ανεξάρτητα audits, αντί να χαρίζεις την κίνησή σου σε αγνώστους μέσω ύποπτων browser extensions.
Συχνές Ερωτήσεις για τις ψεύτικες επεκτάσεις VPN του Chrome
Πώς λειτουργούσαν οι ψεύτικες επεκτάσεις VPN στο Chrome;
Οι επεκτάσεις αυτές παραμετροποιούσαν κρυφά το πρόγραμμα περιήγησης ώστε να δρομολογεί όλη την κυκλοφορία μέσω ελεγχόμενων από επιτιθέμενους SOCKS5 proxy servers.
Πόσες επεκτάσεις εντοπίστηκαν στην καμπάνια;
Οι ερευνητές ασφαλείας εντόπισαν συνολικά 737 επεκτάσεις που διέθεταν κακόβουλο κώδικα ή συνδέονταν με την ίδια υποδομή.
Ποιοι ήταν οι κύριοι στόχοι αυτής της επίθεσης;
Η συντριπτική πλειονότητα των κακόβουλων επεκτάσεων στόχευε ρωσόφωνους χρήστες που αναζητούσαν εργαλεία παράκαμψης λογοκρισίας.
Είναι ασφαλή τα δωρεάν VPN στο Chrome Web Store;
Πολλά δωρεάν VPN αποτελούν Δούρειους Ίππους που συλλέγουν δεδομένα περιήγησης ή μεταπωλούν την κίνησή σου, γι’ αυτό απαιτείται ακραία προσοχή.
Πώς μπορώ να ελέγξω αν η κίνεσή μου έχει εκτεθεί;
Μπορείς να ελέγξεις το ιστορικό εγκατάστασης επεκτάσεων στο Chrome και να επιβεβαιώσεις ότι δεν υπάρχουν ενεργές ρυθμίσεις proxy στο σύστημά σου.
Τι πρέπει να κάνω αν είχα εγκαταστήσει κάποιο από αυτά τα VPN;
Πρέπει να αφαιρέσεις αμέσως την επέκταση, να ελέγξεις τις ρυθμίσεις δικτύου και να αλλάξεις τους κωδικούς πρόσβασης στους σημαντικούς λογαριασμούς σου.
Έχει αφαιρέσει η Google τις επικίνδυνες επεκτάσεις;
Παρότι η Google αφαίρεσε εκατοντάδες από αυτές, πολλές εξακολουθούσαν να βρίσκονται ενεργές στο κατάστημα την περίοδο της έρευνας.
