737 extensiones VPN falsas en Chrome: todo el tráfico pasaba por el proxy de otro

Los investigadores de Socket han descrito una campaña de 737 extensiones gratuitas de VPN y proxy en la Chrome Web Store, publicadas desde al menos 40 cuentas de desarrollador e instaladas 75 486 veces. Casi todas hacen lo mismo: apuntan el navegador a un relé SOCKS5 del operador en el puerto 1082, excluyendo solo las direcciones locales. Desde esa posición el operador ve cada destino, el nombre de servidor de cada saludo TLS, la dirección real del usuario y el contenido completo de todo lo que aún viaje por HTTP simple.

Qué marcas se copiaron

274 extensiones se hacen pasar por 66 nombres conocidos. Entre ellos Proton VPN, NordVPN, Surfshark, ExpressVPN, CyberGhost, Windscribe, TunnelBear, AdGuard VPN, Browsec, el 1.1.1.1 de Cloudflare y el Outline de Google. Otros dos importan de forma especial a quien esquiva bloqueos desde el navegador: AmneziaVPN, copiado por 22 extensiones distintas, y AntiZapret. Son justo las herramientas en las que ese público confía, y por eso valía la pena copiarlas.

Un ejemplo aún activo hace concreta la escala. La extensión con el identificador ilbpmeeaifiojjiohfffjmgpgcfcaajg está en la tienda como «1.1.1.1 VPN» con la imagen de Cloudflare copiada tal cual, mil instalaciones y cinco estrellas con ocho reseñas, y la tienda no muestra ninguna advertencia a quien vaya a instalarla.

Por qué los nombres no le servirán

No intente comprobarlo con una lista de títulos. Los mismos nombres se repiten en decenas de clones, se editan después de publicarse y tras una retirada aparece una subida nueva con un título ligeramente distinto. La señal estable es el identificador de la extensión, la cadena larga de letras de su dirección en la tienda, y Socket publicó los identificadores de las 737.

Qué hacían los operadores para seguir en la tienda

1. Pedían un solo permiso, que en una herramienta VPN parece inofensivo, el de fijar un proxy, y nada más que llamara la atención.
2. 104 extensiones resolvían el servidor proxy mediante DNS cifrado en Cloudflare o Google y luego entregaban a Chrome una dirección desnuda, de modo que la consulta que habría revelado el dominio nunca ocurría en claro.
3. 66 añadieron una capa de configuración remota tras la aprobación, lo que permite cambiar de infraestructura sin publicar una actualización que la tienda revisaría.
4. Anunciaban servidores premium en Japón, Singapur, Canadá, Australia y Turquía. Los 200 subdominios correspondientes no resuelven a nada, así que el plan de pago vende algo que no existe.

Quién está detrás

Socket vincula el conjunto a un negocio de VPN por suscripción que opera en Rusia con el nombre Myxa VPN, cuyo panel de facturación vende la extensión de navegador como plan de pago: los cientos de fichas gratuitas son el embudo. La economía explica por qué las retiradas no acaban con el asunto. Una cuenta de desarrollador en la Chrome Web Store cuesta cinco dólares, así que una eliminación le cuesta al operador el precio de un café y una subida nueva. Google ha retirado 221 extensiones; 516 seguían listadas al recoger los datos y acumulan 58 318 de las instalaciones.

Una extensión de navegador no es una VPN

Esto es lo que conviene llevarse. Una extensión no construye un túnel para su máquina: le dice al navegador que envíe sus peticiones por un servidor, que es exactamente lo que hacían estas. Que eso sea protección o vigilancia depende por completo de quién gestiona el servidor y de qué promete por escrito. El tráfico de otros programas, del actualizador del sistema o de un mensajero no pasa por ahí, así que el candado del navegador no dice nada del resto del dispositivo.

Usar la extensión de un servicio que uno paga de verdad es una comodidad razonable. Una extensión gratuita de un editor desconocido es un extraño que se ofrece a llevar su correo, y esa oferta es todo su modelo de negocio.

Si tenía una instalada

1. Elimine la extensión y después revise el ajuste de proxy, como se ha explicado.
2. Cambie las contraseñas que escribió en sitios sin HTTPS mientras estuvo conectada.
3. Dé por visto por un tercero el historial de ese periodo. Pesa sobre todo si entraba en servicios bloqueados donde vive.