737 extensões VPN falsas no Chrome: todo o tráfego passava pelo proxy de outra pessoa

Os investigadores da Socket descreveram uma campanha de 737 extensões gratuitas de VPN e proxy na Chrome Web Store, publicadas a partir de pelo menos 40 contas de programador e instaladas 75 486 vezes. Quase todas fazem o mesmo: apontam o navegador para um relé SOCKS5 do operador na porta 1082, excluindo apenas os endereços locais. Dessa posição o operador vê cada destino, o nome do servidor em cada aperto de mão TLS, o endereço real do utilizador e todo o conteúdo do que ainda segue em HTTP simples.

Que marcas foram copiadas

274 extensões fazem-se passar por 66 nomes conhecidos. Entre eles Proton VPN, NordVPN, Surfshark, ExpressVPN, CyberGhost, Windscribe, TunnelBear, AdGuard VPN, Browsec, o 1.1.1.1 da Cloudflare e o Outline da Google. Outros dois importam sobretudo a quem contorna bloqueios pelo navegador: AmneziaVPN, copiado por 22 extensões diferentes, e AntiZapret. São exatamente as ferramentas em que esse público confia, e por isso valia a pena copiá-las.

Um exemplo ainda ativo torna a escala concreta. A extensão com o identificador ilbpmeeaifiojjiohfffjmgpgcfcaajg está na loja como «1.1.1.1 VPN», com a imagem da Cloudflare copiada tal e qual, mil instalações e cinco estrelas em oito avaliações, e a loja não mostra qualquer aviso a quem a vá instalar.

Porque os nomes não o ajudam

Não tente verificar-se com uma lista de títulos. Os mesmos nomes repetem-se em dezenas de clones, são editados depois da publicação e a uma remoção segue-se um novo carregamento com um título ligeiramente diferente. A marca estável é o identificador da extensão, a longa sequência de letras no endereço da loja, e a Socket publicou os identificadores de todas as 737.

O que os operadores faziam para ficar na loja

1. Pediam uma única permissão, que numa ferramenta de VPN parece inofensiva, a de definir um proxy, e mais nada que chamasse a atenção.
2. 104 extensões resolviam o servidor de proxy através de DNS cifrado na Cloudflare ou na Google e depois entregavam ao Chrome um endereço nu, pelo que o pedido que revelaria o domínio nunca acontecia às claras.
3. 66 acrescentaram uma camada de configuração remota depois da aprovação, o que permite mudar de infraestrutura sem publicar uma atualização que a loja fosse rever.
4. Anunciavam servidores premium no Japão, Singapura, Canadá, Austrália e Turquia. Todos os 200 subdomínios correspondentes não resolvem para nada, ou seja, o plano pago vende algo que não existe.

Quem está por trás

A Socket liga o conjunto a um negócio de VPN por subscrição que opera na Rússia com o nome Myxa VPN, cujo painel de faturação vende a extensão de navegador como plano pago: as centenas de fichas gratuitas são o funil. A economia explica porque as remoções não terminam a história. Uma conta de programador na Chrome Web Store custa cinco dólares, por isso uma remoção custa ao operador o preço de um café e um novo carregamento. A Google removeu 221 extensões; 516 continuavam listadas quando os dados foram recolhidos e carregam 58 318 das instalações.

Uma extensão de navegador não é uma VPN

É esta a parte a levar daqui. Uma extensão não constrói um túnel para a sua máquina: diz ao navegador para enviar os pedidos através de um servidor, que foi exatamente o que estas fizeram. Se isso é proteção ou vigilância depende inteiramente de quem gere o servidor e do que promete por escrito. O tráfego de outros programas, do atualizador do sistema, de um mensageiro, não passa por lá, por isso o cadeado no navegador nada diz sobre o resto do aparelho.

Usar a extensão de um serviço que se paga de facto é uma comodidade razoável. Uma extensão gratuita de um editor desconhecido é um estranho a oferecer-se para levar o seu correio, e essa oferta é todo o modelo de negócio dele.

Se tinha uma instalada

1. Remova a extensão e depois verifique a definição de proxy, como acima.
2. Mude as palavras-passe que escreveu em sites sem HTTPS enquanto ela esteve ligada.
3. Considere o histórico desse período como visto por terceiros. Pesa sobretudo se entrava em serviços bloqueados onde vive.