Une vaste campagne de fausses extensions VPN pour Google Chrome vient d’être mise au jour. Les chercheurs de Socket ont identifié 737 extensions publiées depuis au moins 40 comptes développeurs et cumulant 75 486 installations.
Le problème est particulièrement sérieux : une grande partie de ces extensions fait transiter l’ensemble du trafic du navigateur à travers une infrastructure de proxy contrôlée par le même opérateur. Au moment de l’analyse, 516 extensions étaient encore disponibles sur le Chrome Web Store.
Proton VPN, NordVPN, Surfshark ou ExpressVPN imités
Parmi les 737 extensions identifiées, 274 usurpent l’identité de 66 marques connues de VPN et de protection de la vie privée. Les chercheurs citent notamment Proton VPN, NordVPN, Surfshark, ExpressVPN, CyberGhost, Windscribe, TunnelBear, AdGuard VPN, Cloudflare 1.1.1.1 ou encore Outline de Google.
La campagne vise principalement des internautes russophones cherchant à contourner le blocage de services comme YouTube, Instagram ou ChatGPT. Les extensions se présentent alors comme des outils capables de masquer l’adresse IP et de protéger la navigation.
Tout le trafic Chrome passe par leurs serveurs
Socket a pu analyser le code de 525 extensions. Sur les 522 appartenant au corpus principal, 520 configurent Chrome pour envoyer le trafic vers des proxys SOCKS5, principalement à travers la même infrastructure.
Une fois le faux VPN activé, pratiquement toutes les requêtes du navigateur transitent par le proxy. Seules les communications locales vers l’ordinateur lui-même sont exclues.
Ce que l’opérateur peut voir
Cette position donne à l’opérateur du proxy une visibilité importante sur la navigation. Il peut notamment observer l’adresse IP de l’utilisateur, les destinations consultées, certaines informations permettant d’identifier les domaines HTTPS et le contenu transmis sur des sites utilisant encore HTTP.
Cela ne signifie pas que le contenu de toutes les connexions HTTPS peut automatiquement être déchiffré. Le chiffrement HTTPS continue de protéger les données échangées avec les sites correctement sécurisés, mais le proxy reste placé au centre de la navigation et peut collecter de nombreuses métadonnées.
De faux abonnements premium et des techniques pour éviter la détection
L’enquête révèle plusieurs comportements particulièrement suspects. Certaines extensions annoncent par exemple des serveurs VPN premium dans plusieurs pays alors que les infrastructures correspondantes n’existent tout simplement pas.
D’autres utilisent DNS-over-HTTPS afin de masquer plus efficacement les domaines associés à leur infrastructure ou peuvent récupérer une nouvelle configuration à distance après leur publication. Les chercheurs ont également découvert des éléments montrant des tentatives de contournement du processus de contrôle du Chrome Web Store.
Des extensions prétendaient ne transmettre aucune donnée
Certaines soumissions au Chrome Web Store affirmaient notamment qu’aucune donnée n’était envoyée vers des serveurs externes et qu’aucun suivi des utilisateurs n’était réalisé. Une affirmation difficilement compatible avec une extension dont le principe même consiste à faire transiter la navigation par un proxy distant.
221 extensions supprimées, 516 encore actives lors de l’enquête
Sur les 737 extensions recensées, 221 avaient été supprimées du Chrome Web Store tandis que 516 étaient toujours référencées comme actives au moment où Socket a constitué son corpus. Ces dernières représentaient à elles seules plus de 58 000 installations.
Les utilisateurs ayant installé récemment une extension VPN peu connue ou une extension prétendant être une version de Proton VPN, NordVPN, Surfshark ou d’un autre service reconnu ont donc intérêt à vérifier immédiatement leurs extensions Chrome et supprimer tout module suspect.