737 תוספי VPN מזויפים ל-Chrome ניתבו את כל הגלישה לשרתי המפעיל
חוקרי Socket מיפו 737 תוספי VPN ופרוקסי ב-Chrome Web Store, מ-40 חשבונות מפתחים לפחות. מאות מהם התחזו למותגים מוכרים, וכמעט כולם העבירו את כל תעבורת הדפדפן דרך שרתים של מפעיל אחד.
TL;DR בקצרה
- Socket פרסמה ב-11 באוגוסט מחקר על 737 תוספי VPN חינמיים, מהם 274 שהתחזו ל-66 מותגי VPN ופרטיות.
- 520 מתוך 522 התוספים שנבדקו הגדירו את הדפדפן לעבור דרך שרת פרוקסי קבוע של המפעיל.
- בזמן המחקר 516 תוספים עדיין היו זמינים בחנות, עם כ-58 אלף התקנות.
- החוקרים קושרים את הרשת לשירות VPN רוסי בתשלום. הם לא טוענים לגניבת מידע מוכחת.
חוקרי Socket מצאו 737 תוספי Chrome VPN חינמיים, שמעבירים את כל הגלישה לשרתי מפעיל אחד. 274 מהם התחזו למותגים מוכרים כמו NordVPN, Proton VPN, Surfshark ו-ExpressVPN. התוספים פורסמו ב-Chrome Web Store דרך 40 חשבונות מפתחים לפחות. Socket פרסמה את המחקר ב-11 באוגוסט.
מה עשו תוספי ה-Chrome VPN המזויפים
החוקרים בחנו את הקוד של 522 תוספים. 520 מהם הגדירו את הדפדפן לעבור דרך שרת פרוקסי קבוע, בפורט 1082. רשימת החריגים כללה רק את המחשב המקומי. כלומר, כל אתר שהמשתמש גלש אליו עבר דרך השרת של המפעיל.
זה מקום עם הרבה כוח. מי ששולט בפרוקסי רואה לאילו אתרים אתם נכנסים. באתרים בלי HTTPS הוא יכול לראות גם את מה שאתם מקלידים. החוקרים מדגישים שהם בדקו רק את הצד של התוסף. אין להם ראיה שהמפעיל אוסף או מעביר את המידע הלאה.
104 תוספים הסתירו את כתובות השרתים בעזרת DNS-over-HTTPS, שיטה שמצפינה את שאילתות ה-DNS. כך קשה לזהות לאן הם פונים. 66 תוספים יכלו גם למשוך הגדרות מדומיינים שלא הופיעו בקוד שלהם. לפי CyberInsider, Socket בדקה 200 כתובות של שרתי ״פרימיום״ ב-40 דומיינים. אף אחת מהן לא הובילה לשרת פעיל. בנוסף, את חומת התשלום בחלק מהגרסאות אפשר היה לעקוף בכל מחרוזת שהיא.
מי עומד מאחורי רשת תוספי ה-Chrome VPN
לפי Socket, הרשת מכוונת בעיקר לדוברי רוסית. הם מחפשים גישה לשירותים חסומים ברוסיה, כמו Instagram, ChatGPT ו-YouTube. החוקרים קושרים אותה לשירות VPN רוסי בתשלום בשם Myxa VPN. התוספים החינמיים משמשים לו משפך לגיוס לקוחות. הראיות כוללות טקסט משותף בחלונות התוספים, מונה סטטיסטיקה משותף ורישום דומיינים בכמויות.
הרשימה המלאה של המותגים המזויפים כוללת גם AdGuard VPN, CyberGhost, Windscribe ו-TunnelBear. יש בה גם התחזות ל-1.1.1.1 של Cloudflare ול-Outline של Google. בסך הכול, התוספים צברו 75,486 התקנות. לפי CyberInsider, התוספים המתחזים לבדם צברו מעל 38 אלף מהן. 516 תוספים עדיין היו זמינים בזמן המחקר, עם 58,318 התקנות.
איך עברו את הבדיקה של Google
לפי החוקרים, אחת הגרסאות שעברו בדיקה לא כללה את מנגנון ההגדרות מרחוק. המנגנון הופיע רק בעדכון שאחריה. תשעה תוספים הציגו הצהרת פרטיות זהה, לפיה ״אף מידע לא יוצא לשרתים חיצוניים״. ביוני פרסמה Palo Alto Networks 18 מזהי תוספים מהרשת. לפי Socket, 14 מתוך 15 שנותרו בחנות ירדו ממנה רק בתוך שבעה שבועות.
מה זה אומר עבורכם
- עברו על התוספים: היכנסו ל-chrome://extensions. הסירו כל תוסף VPN או פרוקסי חינמי שאתם לא בטוחים מי פרסם אותו.
- בדקו את הגדרות הפרוקסי: ב-chrome://settings, חפשו ״proxy״ וודאו שאין שרת שלא הגדרתם בעצמכם.
- הורידו רק מהמקור: ספקי VPN אמיתיים מפנים לתוסף הרשמי מהאתר שלהם. אל תסתמכו על שם ולוגו בחנות.
- החליפו סיסמאות במקרה הצורך: הקלדתם סיסמה באתר בלי HTTPS כשתוסף כזה פעל? החליפו אותה.
- בארגון: מפו תוספים עם הרשאת proxy, ושקלו לחסום תעבורת SOCKS5 בפורט 1082 ביציאה מהרשת.
- בדקו גם הרשאות ישנות: המדריך של CyberGuard לאפליקציות שמחוברות לחשבון.
מה הלאה
הרשאת ה-proxy נראית תמימה ברשימת ההרשאות. בפועל, היא מעניקה שליטה על כל התעבורה של הדפדפן. החוקרים קוראים למפתחים ולצוותי אבטחה להתייחס אליה בחומרה, כמו להרשאה לגשת לכל האתרים.
מקורות והרחבה
- 737 Chrome VPN Extensions Linked to Brand Impersonation and Browser Traffic RedirectionSocket
- 737 Chrome VPN extensions impersonate brands to hijack browser trafficCyberInsider
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
