Um conjunto massivo de 737 extensões gratuitas de VPN e proxy foi identificado como voltado principalmente a usuários de língua russa que buscavam acesso a serviços bloqueados. O objetivo era interceptar o tráfego do navegador e redirecioná-lo por uma infraestrutura de proxy.
As extensões foram publicadas em pelo menos 40 contas de desenvolvedores da Chrome Web Store e somaram 75.486 instalações. Entre as identificadas, 274 se passaram por 66 marcas conhecidas de VPN e privacidade, incluindo Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear, 1.1.1.1 da Cloudflare e Outline, do Google, segundo a Socket.
“As extensões de contorno da censura encaminham toda a sessão do navegador do usuário por proxies SOCKS5 operados por um único provedor”, afirmou o pesquisador de segurança Kush Pandya. “520 das 522 amostras do grande corpus roteiam o tráfego do navegador pela mesma infraestrutura SOCKS5.”
A grande maioria das extensões foi configurada para redirecionar toda a sessão do navegador ao definir `chrome.proxy.settings` para um servidor SOCKS5 fixo na porta 1082, colocando o threat actor em uma posição de adversário no meio da conexão, capaz de observar destinos acessados, endereços IP de origem, valores SNI do TLS e qualquer corpo de requisição enviado em HTTP sem criptografia.
Toda extensão que configura um proxy também traz uma lista de exceções que inclui apenas endereços de loopback, como localhost ou 127.0.0.1. Na prática, isso faz com que qualquer outra requisição do navegador passe pelo relay SOCKS5 na porta 1082 assim que o usuário se conecta ao suposto serviço de VPN.
Até 221 complementos de navegador já foram removidos da Chrome Web Store, enquanto as 516 extensões restantes seguem listadas como ativas. Segundo os pesquisadores, o threat actor opera um negócio de VPN por assinatura na Rússia, com base em um número de contribuinte de 12 dígitos e no fato de algumas extensões exporem um caminho de compilação do Windows, como `C:\Users\ollob\OneDrive\Документы\1.myxa-work\08.06.26\<domain>\<product>\<product>-release.zip`.
Em tese, a funcionalidade não difere de uma VPN ou serviço de proxy legítimo. O que define essa operação é a tentativa de se passar por marcas consolidadas, em vez de oferecê-la sob o próprio nome. Outros sinais de alerta incluem:
Publicidade de planos pagos ou localizações premium que não existem
Evasão de bloqueios com DNS-over-HTTPS
Falha em todas as tentativas de conexão, mas com uma interface totalmente falsa, incluindo animação de conexão e indicador de status funcionando
Distribuição de um manual interno chamado “Промт для сотрудников”, traduzido como “Prompt para funcionários”, que orienta a não inserir o domínio diretamente em `chrome.proxy.settings` e, em vez disso, fornecer apenas o IP resolvido, além de não usar um domínio de outra extensão sem instruções separadas
Presença de comentários que indicam uma tentativa deliberada de burlar as políticas da Chrome Web Store
Adição de uma nova camada de configuração remota após a aprovação da extensão
Tentativas de manipular o processo de revisão da Chrome Web Store com justificativas idênticas, afirmando “Nenhum dado é transmitido para servidores externos” ou “Nenhum rastreamento ou registro de usuário”
“Para cada usuário afetado, enquanto a extensão estiver conectada, toda requisição passa por um servidor controlado pelo threat actor”, disse Pandya. “Se o threat actor é dono desses servidores de proxy ou revende capacidade de um provedor upstream, isso não pode ser determinado a partir do código da extensão. Se houver revenda, há uma terceira parte na mesma posição.”
“O que está comprovado, pelos pacotes e pela infraestrutura pública, é a usurpação de identidade, a configuração de proxy não divulgada, os servidores premium inexistentes, as declarações falsas enviadas aos revisores da loja e a substituição de código após a aprovação.”
Extensão removida da Chrome Web Store reaparece com esquema de monetização
O caso ganhou um novo capítulo depois que a Netskope Threat Labs destacou o retorno de uma extensão do Google Chrome chamada “AI Sidebar with Deepseek, ChatGPT, Claude, and more”, meses após ela ter sido removida por usar táticas de Prompt Poaching.
A sequência de atualização limpa e depois contaminada, distribuída nas versões 1.7.2.0 e 1.7.3.0, ocorreu em 31/07/2026, por meio da rede de distribuição de conteúdo CRX do Google, e introduziu um esquema de monetização, uma inclusão cirúrgica de 21 linhas, baseado em eventos de atualização e desinstalação da extensão.
“A extensão liberou uma atualização benigna, removendo o código de roubo de dados e reconhecendo sua conduta irregular. Duas semanas depois, voltou a agir com uma nova atualização”, afirmou a empresa de cibersegurança.
“Embora não contenha mais o código de exfiltração de conversas, agora ela inclui um payload de monetização que abre um link de afiliado em uma aba em primeiro plano sempre que a extensão é atualizada ou desinstalada. Além disso, ela suprime o redirecionamento de usuários do DeepSeek para o ChatGPT.”
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...