737 estensioni VPN false in Chrome: tutto il traffico passava dal proxy di un altro

I ricercatori di Socket hanno descritto una campagna di 737 estensioni VPN e proxy gratuite nel Chrome Web Store, pubblicate da almeno 40 account di sviluppatore e installate 75 486 volte. Quasi tutte fanno la stessa cosa: puntano il browser su un relay SOCKS5 dell’operatore sulla porta 1082, escludendo solo gli indirizzi locali. Da quella posizione l’operatore vede ogni destinazione, il nome del server in ogni handshake TLS, l’indirizzo reale dell’utente e il contenuto completo di tutto ciò che viaggia ancora in HTTP semplice.

Quali marchi sono stati copiati

274 estensioni si spacciano per 66 nomi affermati. Tra questi Proton VPN, NordVPN, Surfshark, ExpressVPN, CyberGhost, Windscribe, TunnelBear, AdGuard VPN, Browsec, l’1.1.1.1 di Cloudflare e Outline di Google. Altri due contano in modo particolare per chi aggira i blocchi dal browser: AmneziaVPN, copiato da 22 estensioni diverse, e AntiZapret. Sono esattamente gli strumenti di cui quel pubblico si fida, ed è per questo che valeva la pena copiarli.

Un esempio ancora attivo rende concreta la scala. L’estensione con l’identificatore ilbpmeeaifiojjiohfffjmgpgcfcaajg sta nello store come «1.1.1.1 VPN» con l’immagine di Cloudflare copiata di peso, mille installazioni e cinque stelle su otto recensioni, e lo store non mostra alcun avviso a chi sta per installarla.

Perché i nomi non vi aiuteranno

Non provate a controllarvi con un elenco di titoli. Gli stessi nomi si ripetono in decine di cloni, vengono modificati dopo la pubblicazione e a una rimozione segue un nuovo caricamento con un titolo appena diverso. Il riferimento stabile è l’identificatore dell’estensione, la lunga sequenza di lettere nel suo indirizzo nello store, e Socket ha pubblicato gli identificatori di tutte e 737.

Che cosa facevano gli operatori per restare nello store

1. Chiedevano un solo permesso, che per uno strumento VPN sembra innocuo, quello di impostare un proxy, e nient’altro che attirasse l’attenzione.
2. 104 estensioni risolvevano l’host del proxy tramite DNS cifrato di Cloudflare o Google e poi passavano a Chrome un indirizzo nudo, così la richiesta che avrebbe rivelato il dominio non avveniva mai in chiaro.
3. 66 hanno aggiunto uno strato di configurazione remota dopo l’approvazione, il che consente di cambiare infrastruttura senza pubblicare un aggiornamento che lo store esaminerebbe.
4. Pubblicizzavano server premium in Giappone, Singapore, Canada, Australia e Turchia. Tutti i 200 sottodomini corrispondenti non risolvono nulla: il piano a pagamento vende qualcosa che non esiste.

Chi c’è dietro

Socket collega l’intero insieme a un’attività di VPN in abbonamento operante in Russia con il nome Myxa VPN, il cui pannello di fatturazione vende l’estensione per browser come piano a pagamento: le centinaia di schede gratuite sono l’imbuto. L’economia spiega perché le rimozioni non chiudono la storia. Un account sviluppatore nel Chrome Web Store costa cinque dollari, quindi una rimozione costa all’operatore il prezzo di un caffè e un nuovo caricamento. Google ne ha rimosse 221; 516 risultavano ancora attive alla raccolta dei dati e su di esse pesano 58 318 installazioni.

Un’estensione del browser non è una VPN

È questa la parte da portarsi via. Un’estensione non costruisce un tunnel per il computer: dice al browser di inviare le richieste attraverso un server, che è esattamente ciò che queste facevano. Se sia protezione o sorveglianza dipende interamente da chi gestisce quel server e da che cosa promette per iscritto. Il traffico di altri programmi, dell’aggiornamento di sistema, di un messenger, non ci passa affatto, quindi il lucchetto nel browser non dice nulla sul resto del dispositivo.

Usare l’estensione di un servizio che si paga davvero è una comodità ragionevole. Un’estensione gratuita di un editore sconosciuto è uno sconosciuto che si offre di portarvi la posta, e quell’offerta è tutto il suo modello di business.

Se ne avevate una installata

1. Rimuovete l’estensione e poi controllate l’impostazione del proxy, come sopra.
2. Cambiate le password digitate su siti senza HTTPS mentre era collegata.
3. Considerate la cronologia di quel periodo come vista da terzi. Pesa soprattutto se visitavate servizi bloccati dove vivete.