737 tiện ích VPN trên Chrome bị phát hiện chuyển hướng lưu lượng qua proxy
"Researchers found 737 Chrome VPN and proxy extensions that impersonate well-known privacy brands and route browser traffic through undisclosed SOCKS5 proxy infrastructure, placing users in an adversary-in-the-middle position. The extensions were distributed across at least 40 Chrome Web Store developer accounts, with 221 removed and 516 still active; the article also notes a separate Chrome extension that resurfaced with a monetization payload after a prior removal."
Rủi ro cao do AitM, giả mạo thương hiệu và proxy không công bố có thể làm lộ IP, đích truy cập và dữ liệu phiên duyệt web.
Có thể ảnh hưởng đến an toàn dữ liệu người dùng, gây rủi ro tuân thủ và phát sinh chi phí xử lý sự cố, rà soát tiện ích trên thiết bị doanh nghiệp.
Các nhà nghiên cứu đã phát hiện 737 tiện ích VPN và proxy trên Chrome có hành vi giả mạo các thương hiệu bảo mật phổ biến và âm thầm chuyển hướng lưu lượng trình duyệt qua hạ tầng SOCKS5 proxy không được công bố. Theo báo cáo, các tiện ích này được phát hành từ ít nhất 40 tài khoản nhà phát triển trên Chrome Web Store, với 221 tiện ích đã bị gỡ và 516 tiện ích vẫn còn hoạt động tại thời điểm công bố.
Nhóm tiện ích bị ảnh hưởng có tổng cộng 75.486 lượt cài đặt; trong đó 274 tiện ích giả mạo 66 thương hiệu như Proton VPN, NordVPN, Surfshark, AdGuard VPN, ExpressVPN, Cloudflare 1.1.1.1 và Outline. Khi người dùng kết nối, tiện ích có thể đặt chrome.proxy.settings trỏ tới máy chủ cố định, đưa nhà vận hành vào vị trí adversary-in-the-middle (AitM) để quan sát đích truy cập, địa chỉ IP nguồn, giá trị TLS SNI và dữ liệu gửi qua HTTP không mã hóa.
Khuyến nghị: kiểm tra lại các tiện ích VPN/proxy đang cài, chỉ dùng tiện ích từ nhà phát hành xác thực, rà soát quyền truy cập của trình duyệt và gỡ bỏ ngay các tiện ích có dấu hiệu giả mạo thương hiệu hoặc cấu hình proxy bất thường. Doanh nghiệp nên đưa các tiện ích trình duyệt vào danh sách kiểm soát và giám sát thay đổi cấu hình proxy sau cài đặt.