737 gefälschte Chrome-VPN-Erweiterungen bei Proxy-Routing-Kampagne enttarnt

Hunderte von Chrome-Erweiterungen, die sich als VPN- und Datenschutz-Tools ausgaben, waren Teil einer koordinierten Aktion, bei der der Browser-Datenverkehr über eine gemeinsam genutzte SOCKS5-Proxy-Infrastruktur umgeleitet wurde. Einige dieser Erweiterungen gaben sich zudem als etablierte Sicherheitsmarken aus und warben mit Premium-Servern, die in Wirklichkeit gar nicht existierten.

Wichtige Erkenntnisse

• Socket brachte 737 Chrome-VPN- und Proxy-Erweiterungen mit der Kampagne in Verbindung; diese kamen zusammen auf 75.486 Installationen.
• Forscher entdeckten 274 Erweiterungen, die sich als 66 etablierte VPN- und Datenschutzmarken ausgaben.
• Von 522 für die Code-Analyse untersuchten Paketen leiteten 520 den Browser-Datenverkehr über SOCKS5-Proxys auf Port 1082 um.
• Chrome-Nutzer, die eine betroffene Erweiterung installiert haben, sollten diese entfernen und sicherstellen, dass die Proxy-Einstellungen ihres Browsers wieder auf den Normalzustand zurückgesetzt wurden.

Das Ausmaß dieser Aktion macht eine eigentlich praktische Browser-Funktion zu einem Sicherheitsproblem in der Lieferkette. Nutzer wurden nicht dazu verleitet, ein offensichtlich unbeteiligtes Tool zu installieren; viele der heruntergeladenen Erweiterungen wurden als Datenschutzprodukte präsentiert, wobei einige die Identität von Diensten annahmen, die den Nutzern möglicherweise bereits bekannt waren und denen sie vertrauten.

Gefälschte VPN-Erweiterungen schleusen sich in den Browser-Datenverkehr ein

Sicherheitsforscher von Socket deckten eine umfangreiche Kampagne im Chrome Web Store auf, die vor allem auf russischsprachige Nutzer abzielte, welche auf blockierte Dienste zugreifen wollten. Die Erweiterungen traten unter zahlreichen Namen und Entwicklerkonten auf, waren jedoch durch eine gemeinsame Infrastruktur und technische Muster einer einzigen Operation zuzuordnen.

Nach der Aktivierung konfigurierten die meisten der analysierten Erweiterungen Chrome so, dass Browser-Anfragen über vom Betreiber kontrollierte SOCKS5-Relays geleitet wurden. Socket betonte, dass die Nutzung von Proxys an sich noch keinen Beweis für böswilliges Verhalten darstellt; auch legitime VPN-Tools für Browser nutzen ähnliche Mechanismen. Das Problem liegt vielmehr in der damit verbundenen Täuschung, einschließlich des Missbrauchs bekannter Marken, irreführender Angaben zum Datenschutz und der Verwendung versteckter Infrastrukturen.

Markenmissbrauch und Umgehung von Store-Kontrollen erhöhten das Risiko

Die Kampagne kopierte Namen oder Markenelemente von Diensten wie Proton VPN, NordVPN, Surfshark, ExpressVPN und Cloudflares 1.1.1.1. Zudem fanden die Forscher Werbung für Premium-Standorte in Japan, Singapur, Kanada, Australien und der Türkei, deren getestete Hostnamen sich jedoch nicht auflösen ließen.

Die Forscher identifizierten weitere Anzeichen für eine gezielte Umgehung von Sicherheitskontrollen. Bei 49 Erweiterungen, die über 18 Entwicklerkonten veröffentlicht wurden, erfolgte eine Änderung des Codes erst nach der Freigabe; zudem enthielten mehrere Pakete nahezu identische, an die Prüfer übermittelte Erklärungen, in denen behauptet wurde, es fänden keine externe Datenübertragung oder Nachverfolgung (Tracking) statt. Zum Zeitpunkt der Entdeckung waren 221 Erweiterungen bereits entfernt worden, während 516 noch als aktiv gelistet waren.

Was Chrome-Nutzer jetzt tun sollten

Wer eine mit der Kampagne in Verbindung stehende VPN-Erweiterung installiert hat, sollte diese umgehend entfernen und die Proxy-Einstellungen von Chrome überprüfen. Socket empfiehlt zudem, Zugangsdaten zu ändern, die auf Websites ohne HTTPS-Verschlüsselung eingegeben wurden, während eine betroffene Erweiterung aktiv war. Zudem sollte man davon ausgehen, dass die eigenen Aktivitäten im Internet während dieses Zeitraums für Dritte einsehbar gewesen sein könnten.

Generell sollten Nutzer sicherstellen, dass eine VPN-Erweiterung tatsächlich vom angegebenen Anbieter stammt, anstatt sich blind auf ein bekanntes Logo oder einen vertrauten Namen zu verlassen. Laden Sie Software für Datenschutz und Sicherheit nach Möglichkeit direkt von der offiziellen Website des Anbieters herunter und prüfen Sie vor der Installation die Berechtigungen im Browser.

Die Bedeutung vertrauenswürdiger VPNs

Schützen Sie Ihren Datenverkehr mit Software aus einer vertrauenswürdigen Quelle. Wenn Sie ein VPN benötigen, bietet Bitdefender mit „Bitdefender Premium VPN“ einen eigenen VPN-Dienst an, der direkt über Bitdefender erhältlich ist. Nutzer, die einen umfassenderen Schutz suchen, können sich für „Bitdefender Ultimate Security“ entscheiden; dieses Paket kombiniert das Premium VPN mit Sicherheitsfunktionen für Geräte und Online-Aktivitäten.