737 gefälschte VPN-Erweiterungen in Chrome: der ganze Verkehr lief über einen fremden Proxy

Forscher von Socket haben eine Kampagne aus 737 kostenlosen VPN- und Proxy-Erweiterungen im Chrome Web Store beschrieben, veröffentlicht über mindestens 40 Entwicklerkonten und 75 486 Mal installiert. Fast alle tun dasselbe: Sie richten den Browser auf ein SOCKS5-Relais des Betreibers auf Port 1082, ausgenommen sind nur lokale Adressen. Aus dieser Position sieht der Betreiber jedes Ziel, den Servernamen in jedem TLS-Handshake, die echte Adresse des Nutzers und den vollständigen Inhalt von allem, was noch über einfaches HTTP geht.

Welche Marken kopiert wurden

274 der Erweiterungen geben sich als 66 etablierte Namen aus. Darunter Proton VPN, NordVPN, Surfshark, ExpressVPN, CyberGhost, Windscribe, TunnelBear, AdGuard VPN, Browsec, Cloudflares 1.1.1.1 und Googles Outline. Zwei weitere sind für Leser besonders wichtig, die per Browser Sperren umgehen: AmneziaVPN, von 22 einzelnen Erweiterungen kopiert, und AntiZapret. Genau diesen Werkzeugen vertraut dieses Publikum, deshalb lohnte sich die Kopie.

Ein lebendes Beispiel macht den Massstab greifbar. Die Erweiterung mit der Kennung ilbpmeeaifiojjiohfffjmgpgcfcaajg liegt im Store als „1.1.1.1 VPN“ mit vollständig übernommenem Auftritt von Cloudflare, tausend Installationen und fünf Sternen aus acht Bewertungen, und der Store zeigt einem künftigen Nutzer keinerlei Warnung.

Warum Namen nicht weiterhelfen

Prüfen Sie sich nicht anhand einer Liste von Titeln. Dieselben Namen wiederholen sich über Dutzende Klone, sie werden nach der Veröffentlichung geändert, und auf eine Entfernung folgt ein frischer Upload unter einem leicht anderen. Das stabile Merkmal ist die Erweiterungs-ID, die lange Buchstabenfolge in ihrer Store-Adresse, und Socket hat die IDs aller 737 veröffentlicht.

Was die Betreiber taten, um im Store zu bleiben

1. Sie verlangten eine Berechtigung, die für ein VPN-Werkzeug harmlos aussieht, nämlich einen Proxy setzen zu dürfen, und sonst nichts, was Aufmerksamkeit erregt hätte.
2. 104 Erweiterungen lösten den Proxy-Host über verschlüsseltes DNS bei Cloudflare oder Google auf und gaben Chrome dann eine nackte Adresse, sodass die Abfrage, die die Domain sichtbar machen würde, nie im Klartext stattfand.
3. 66 fügten nach der Freigabe eine Fernkonfiguration hinzu, mit der sich die Infrastruktur ändern lässt, ohne ein Update auszuliefern, das der Store prüfen würde.
4. Sie warben mit Premium-Servern in Japan, Singapur, Kanada, Australien und der Türkei. Alle 200 dieser Subdomains lösen ins Leere auf, der bezahlte Tarif verkauft also etwas, das es nicht gibt.

Wer dahintersteht

Socket führt das Ganze auf ein Abo-VPN-Geschäft in Russland unter dem Namen Myxa VPN zurück, dessen Abrechnungsoberfläche die Browser-Erweiterung als bezahlten Tarif verkauft: die Hunderte kostenloser Einträge sind der Trichter. Die Ökonomie erklärt, warum Entfernungen nichts beenden. Ein Entwicklerkonto im Chrome Web Store kostet fünf Dollar, ein Takedown kostet den Betreiber also einen Kaffee und einen neuen Upload. Google hat 221 Erweiterungen entfernt; 516 waren bei der Erhebung noch gelistet und tragen 58 318 der Installationen.

Eine Browser-Erweiterung ist kein VPN

Das ist der Teil, den man mitnehmen sollte. Eine Erweiterung baut keinen Tunnel für Ihren Rechner, sie weist den Browser an, seine Anfragen über einen Server zu schicken, genau das taten diese hier. Ob das Schutz oder Überwachung ist, hängt vollständig davon ab, wer den Server betreibt und was er schriftlich zusagt. Verkehr anderer Programme, des Systemupdaters, eines Messengers, läuft gar nicht darüber, das Schloss im Browser sagt also nichts über den Rest des Geräts.

Wer die Browser-Erweiterung eines Dienstes nutzt, für den er tatsächlich zahlt, hat eine vernünftige Bequemlichkeit. Eine kostenlose Erweiterung eines unbekannten Anbieters ist ein Fremder, der anbietet, Ihre Post zu tragen, und genau dieses Angebot ist sein Geschäftsmodell.

Falls so etwas installiert war

1. Entfernen Sie die Erweiterung und prüfen Sie danach die Proxy-Einstellung wie oben beschrieben.
2. Ändern Sie die Passwörter, die Sie auf Seiten ohne HTTPS eingegeben haben, solange sie verbunden war.
3. Betrachten Sie den Verlauf dieses Zeitraums als von Dritten gesehen. Das wiegt am schwersten, wenn Sie Dienste aufgerufen haben, die bei Ihnen gesperrt sind.