Összesen 737 ingyenes VPN- és proxy-bővítményről derült ki, hogy elsősorban oroszul beszélő felhasználókat céloznak, akik blokkolt szolgáltatásokhoz próbálnak hozzáférni. A céljuk az, hogy elfogják a böngészőforgalmat, és egy saját proxy infrastruktúrán keresztül tereljék azt.

A bővítményeket legalább 40 különböző Chrome Web Store fejlesztői fiók alatt tették közzé, és összesen 75 486 telepítést értek el. A beazonosított kiegészítők közül 274 darab 66 ismert VPN- és adatvédelem-központú márkát próbál lemásolni, köztük a Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear, a Cloudflare 1.1.1.1 szolgáltatását és a Google Outline megoldását – írja a Socket.

A cenzúra megkerülésére kínált bővítmények „a felhasználó teljes böngészési munkamenetét egyetlen szolgáltató által üzemeltetett SOCKS5 proxykon keresztül vezetik át” – mondta Kush Pandya biztonsági kutató nyilatkozatában. „A tömegesen vizsgált 522 bővítmény közül 520 ugyanarra a SOCKS5 infrastruktúrára irányítja a böngészőforgalmat.”

A bővítmények túlnyomó többsége úgy tereli át a felhasználók teljes böngészési munkamenetét, hogy a „chrome.proxy.settings” beállításban egy fix SOCKS5 szervert ad meg a 1082-es porton. Így a támadó félkész helyzetbe kerül (adversary-in-the-middle, AitM), és meg tudja figyelni a böngésző által elért célcímeket, a forrás IP-címeket, a TLS SNI értékeket, valamint minden olyan kérés törzsét, amely sima HTTP-n keresztül megy.

Minden olyan bővítmény, amely proxy beállítást végez, tartalmaz egy kivétellistát is, amelyen csak a loopback címek (például a localhost vagy a „127.0.0.1”) szerepelnek. Ez azt jelenti, hogy minden más böngészőforgalom a 1082-es porton futó SOCKS5 átjátszóra kerül, miután a felhasználó csatlakozik az állítólagos VPN szolgáltatáshoz.

Legalább 221 böngészőbővítményt már eltávolítottak a Chrome Web Store kínálatából, a maradék 516 kiegészítőt viszont továbbra is aktívként tartják számon. A jelek szerint a fenyegetés mögött álló szereplő Oroszországban üzemeltet előfizetéses VPN szolgáltatást. Erre utal egy 12 jegyű adószám, illetve az is, hogy néhány bővítmény kiszivárogtatja a Windows build elérési útját („C:\Users\ollob\OneDrive\Документы\1.myxa-work\08.06.26\<domain>\<product>\<product>-release.zip”).

Elvben a működésük nem különbözik egy legitim VPN- vagy proxy szolgáltatástól. A lényegi különbség az, hogy ismert márkákat próbálnak utánozni, ahelyett hogy saját név alatt jelennének meg. További intő jelek:

• Nem létező fizetős csomagokat (vagy „prémium” helyszíneket) hirdetnek
• DNS-over-HTTPS alapú tiltólisták megkerülésére törekednek
• Minden kapcsolódási kísérlet sikertelen, miközben a felhasználónak egy teljesen hamis felületet mutatnak, működőnek tűnő csatlakozási animációval és állapotjelzővel
• Egy „Промт для сотрудников” („Útmutató dolgozóknak”) című belső kézikönyvet mellékelnek, amely arra utasítja a munkatársakat, hogy ne írják be közvetlenül a domaint a „chrome.proxy.settings” mezőbe (helyette csak a feloldott IP-címet adják meg), és ne használjanak másik bővítményhez tartozó domaint külön utasítás nélkül

Olyan megjegyzéseket tartalmaznak, amelyek arra utalnak, hogy szándékosan próbálják megkerülni a Chrome Web Store szabályait

Új, távoli konfigurációs réteget adnak hozzá a bővítmény jóváhagyása után

Megpróbálják kijátszani a Chrome Web Store ellenőrzési folyamatát azzal, hogy azonos indoklásokat nyújtanak be, például: „Nem továbbítunk adatot külső szerverekre” vagy „Nem követjük és nem naplózzuk a felhasználókat”

„Az érintett felhasználóknál, amíg a bővítmény csatlakozik, minden kérés egy, a fenyegetés mögött álló szereplő által felügyelt szerveren halad át” – mondta Pandya. „Az, hogy a fenyegetés mögött álló fél maga birtokolja ezeket a proxy szervereket, vagy egy felsőbb szintű szolgáltatótól vásárol kapacitást, a bővítmény kódjából nem derül ki. Ha viszont viszonteladó, akkor egy további szereplő kerül ugyanabba a helyzetbe.”

„A csomagokból és a nyilvános infrastruktúrából az látszik, hogy hamis márkákat utánoznak, eltitkolják a proxy konfigurációt, nem létező prémium szervereket ígérnek, valótlan állításokat tesznek a Chrome Web Store ellenőreinek, és a jóváhagyás után kicserélik a kódot.”

Eltávolított Chrome-bővítmény tért vissza pénzszerzési trükkel

Mindezzel párhuzamosan a Netskope Threat Labs beszámolt egy „AI Sidebar with Deepseek, ChatGPT, Claude, and more.” nevű Google Chrome-bővítmény visszatéréséről, hónapokkal azután, hogy eltávolították, mert Prompt Poaching taktikákat alkalmazott.

A „tiszta, majd megmérgezett” frissítési sorozat a 1.7.2.0 és 1.7.3.0 verziók között zajlott le a Google CRX tartalomszolgáltató hálózatán keresztül 2026. július 31-én. Ekkor toltak ki egy pénzszerzési megoldást – egy „sebészi pontosságú”, mindössze 21 soros kiegészítést –, amely az extension frissítési és eltávolítási eseményeire épül.

„A bővítmény először egy ártalmatlan frissítést adott ki, amely eltávolította az adatlopó kódot, és elismerte a korábbi visszaélést. Két hét múlva aztán újra kirántotta a szőnyeget a felhasználók alól egy új frissítéssel” – közölte a kiberbiztonsági cég.

„Bár már nem tartalmazza a beszélgetések kiszivárogtatására szolgáló kódot, most egy pénzszerzési payload került bele, amely minden egyes frissítéskor és eltávolításkor megnyit egy affiliate linket az előtérben lévő böngészőfülön. Emellett megakadályozza, hogy a DeepSeek felhasználókat átirányítsák a ChatGPT-re.”