737 fausses extensions VPN dans Chrome : tout le trafic passait par le proxy d’un inconnu

Les chercheurs de Socket ont décrit une campagne de 737 extensions VPN et proxy gratuites dans le Chrome Web Store, publiées depuis au moins 40 comptes de développeurs et installées 75 486 fois. Presque toutes font la même chose : elles dirigent le navigateur vers un relais SOCKS5 de l’opérateur sur le port 1082, seules les adresses locales étant exclues. De cette position, l’opérateur voit chaque destination, le nom de serveur dans chaque poignée de main TLS, l’adresse réelle de l’utilisateur et le contenu complet de tout ce qui passe encore en HTTP simple.

Quelles marques ont été copiées

274 extensions se font passer pour 66 noms établis. Parmi eux : Proton VPN, NordVPN, Surfshark, ExpressVPN, CyberGhost, Windscribe, TunnelBear, AdGuard VPN, Browsec, le 1.1.1.1 de Cloudflare et l’Outline de Google. Deux autres comptent particulièrement pour ceux qui contournent des blocages depuis le navigateur : AmneziaVPN, copié par 22 extensions distinctes, et AntiZapret. Ce sont précisément les outils auxquels ce public fait confiance, d’où l’intérêt de les copier.

Un exemple encore en ligne rend l’échelle concrète. L’extension portant l’identifiant ilbpmeeaifiojjiohfffjmgpgcfcaajg figure dans la boutique sous le nom « 1.1.1.1 VPN », avec l’identité visuelle de Cloudflare reprise telle quelle, mille installations et cinq étoiles sur huit avis, et la boutique n’affiche aucun avertissement au futur utilisateur.

Pourquoi les noms ne vous aideront pas

N’essayez pas de vous vérifier avec une liste de titres. Les mêmes noms se répètent sur des dizaines de clones, ils sont modifiés après publication, et un retrait est suivi d’un nouveau dépôt sous un intitulé légèrement différent. Le repère stable, c’est l’identifiant de l’extension, la longue suite de lettres dans son adresse de boutique, et Socket a publié les identifiants des 737.

Ce que les opérateurs faisaient pour rester dans la boutique

1. Ils demandaient une seule permission, anodine pour un outil VPN, celle de définir un proxy, et rien d’autre qui aurait attiré l’attention.
2. 104 extensions résolvaient l’hôte du proxy via un DNS chiffré chez Cloudflare ou Google, puis donnaient à Chrome une adresse brute, si bien que la requête qui aurait révélé le domaine n’avait jamais lieu en clair.
3. 66 ont ajouté une couche de configuration à distance après validation, ce qui permet de changer d’infrastructure sans livrer de mise à jour que la boutique examinerait.
4. Elles annonçaient des serveurs premium au Japon, à Singapour, au Canada, en Australie et en Turquie. Les 200 sous-domaines correspondants ne résolvent rien : l’offre payante vend donc quelque chose qui n’existe pas.

Qui est derrière

Socket relie l’ensemble à un service VPN par abonnement opérant en Russie sous le nom de Myxa VPN, dont l’espace de facturation vend l’extension de navigateur comme une offre payante : les centaines de fiches gratuites sont l’entonnoir. L’économie explique pourquoi les retraits ne mettent pas fin à l’affaire. Un compte développeur du Chrome Web Store coûte cinq dollars : une suppression coûte donc à l’opérateur le prix d’un café et un nouveau dépôt. Google a retiré 221 extensions ; 516 étaient encore listées lors de la collecte et portent 58 318 des installations.

Une extension de navigateur n’est pas un VPN

C’est ce qu’il faut retenir. Une extension ne construit pas de tunnel pour votre machine : elle dit au navigateur d’envoyer ses requêtes par un serveur, ce que celles-ci faisaient précisément. Que ce soit une protection ou une surveillance dépend entièrement de qui tient le serveur et de ce qu’il promet par écrit. Le trafic des autres logiciels, du système de mise à jour, d’une messagerie, n’y passe pas du tout : le cadenas dans le navigateur ne dit rien du reste de l’appareil.

Utiliser l’extension d’un service que l’on paie vraiment est un confort raisonnable. Une extension gratuite d’un éditeur inconnu, c’est un inconnu qui propose de porter votre courrier, et cette proposition est tout son modèle économique.

Si vous en aviez une

1. Supprimez l’extension puis vérifiez le réglage du proxy, comme indiqué plus haut.
2. Changez les mots de passe saisis sur des sites sans HTTPS pendant qu’elle était connectée.
3. Considérez l’historique de cette période comme vu par un tiers. Cela compte surtout si vous alliez sur des services bloqués là où vous vivez.