📰 Informação fresquinha chegando para você!
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Descobriu-se que um enorme conjunto de 737 extensões gratuitas de VPN e proxy visam principalmente usuários de língua russa que buscam acesso a serviços bloqueados com o objetivo de interceptar o tráfego do navegador e encaminhá-lo através de uma infraestrutura de proxy.
As extensões, publicadas em pelo menos 40 contas de desenvolvedores da Chrome Web Store, acumularam 75.486 instalações. Dos identificados, descobriu-se que 274 personificam 66 VPNs estabelecidas e marcas de privacidade, incluindo Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear, Cloudflare's 1.1.1.1 e Google's Outline, por Socket.
As extensões para contornar a censura “roteiam toda a sessão do navegador do usuário por meio de proxies SOCKS5 operados por um único provedor”, disse o pesquisador de segurança Kush Pandya. "520 dos 522 no corpus em massa roteiam o tráfego do navegador através da mesma infraestrutura SOCKS5."
Descobriu-se que a grande maioria das extensões roteia sessões inteiras do navegador dos usuários, definindo "chrome.proxy.settings" para um servidor SOCKS5 fixo na porta 1082, colocando o ator da ameaça em uma posição de adversário no meio (AitM) para observar destinos do navegador, endereços IP de origem, valores TLS SNI e qualquer corpo de solicitação enviado por HTTP simples.
Cada extensão que configura um proxy também vem com uma lista de bypass que inclui apenas endereços de loopback (ou seja, o host local ou 127.0.0.1"), o que significa que todas as outras solicitações do navegador são canalizadas através do relé SOCKS5 na porta 1082 assim que o usuário se conecta ao suposto serviço VPN.
Até 221 complementos de navegador foram removidos da Chrome Web Store, enquanto as 516 extensões restantes foram listadas como ativas. Diz-se que o ator da ameaça administra um negócio de VPN por assinatura na Rússia, com base em um número de contribuinte de 12 dígitos e no fato de que alguns deles vazam seu caminho de construção do Windows ("C:\Users\ollob\OneDrive\Документы\1.myxa-work\08.06.26\\\-release.zip").
Idealmente, a funcionalidade não é diferente de uma VPN legítima ou serviço de proxy. O aspecto definidor desta atividade é a tentativa de personificar marcas estabelecidas, em vez de oferecê-las em seu próprio nome. Algumas das outras bandeiras vermelhas incluem -
Anunciar níveis pagos (ou locais premium) que não existem
Evasão de lista de bloqueio DNS sobre HTTPS
Falha em todas as tentativas de conexão enquanto mostra uma interface falsa completa, incluindo uma animação de conexão funcional e um indicador de status
Envio de um manual interno chamado "Промт для сотрудников" (traduzido como "Prompt para funcionários") que os instrui a evitar colocar o domínio diretamente em "chrome.proxy.settings" (e, em vez disso, fornecer apenas o IP resolvido) e evitar usar um domínio de outra extensão sem instruções separadas
Presença de comentários que indicam uma tentativa deliberada de contornar as políticas da Chrome Web Store
Adicionando uma nova camada de configuração remota após a aprovação da extensão
Tentativas de burlar o processo de revisão da Chrome Web Store enviando justificativas idênticas, afirmando "Nenhum dado transmitido a servidores externos" ou "Nenhum rastreamento ou registro do usuário"
“Para cada usuário afetado, enquanto a extensão está conectada, cada solicitação passa por um servidor controlado pelo agente da ameaça”, disse Pandya. “Se o autor da ameaça possui esses servidores proxy ou revende a capacidade de um provedor upstream, isso não pode ser resolvido a partir do código de extensão. Se revender, outra parte estará na mesma posição.”
“O que se estabelece a partir dos pacotes e da infraestrutura pública é a personificação, a configuração de proxy não revelada, os servidores premium inexistentes, as declarações falsas submetidas aos revisores das lojas e a substituição do código pós-aprovação”.
A extensão do Chrome removida ressurge com esquema de monetização
O desenvolvimento ocorre no momento em que o Netskope Threat Labs destaca o retorno de uma extensão do Google Chrome chamada “AI Sidebar com Deepseek, ChatGPT, Claude e muito mais”. meses depois de ter sido removido por envolvimento em táticas de caça furtiva imediata.
A sequência de atualização limpa e envenenada, espalhada pelas versões 1.7.2.0 e 1.7.3.0, ocorreu por meio da rede de distribuição de conteúdo CRX do Google em 31 de julho de 2026, lançando um esquema de monetização – uma adição “cirúrgica” de 21 linhas – construído em torno de eventos de atualização e desinstalação de extensões.
“A extensão lançou uma atualização benigna que removeu o código de roubo de dados e reconheceu sua irregularidade. Depois de duas semanas, puxou o tapete novamente com uma nova atualização”, disse a empresa de segurança cibernética.
“Embora não contenha mais o código de exfiltração de conversas, agora contém uma carga útil de monetização que abre um link de afiliado em uma guia do navegador em primeiro plano sempre que a extensão é atualizada e desinstalada. Além disso, suprime o redirecionamento de usuários do DeepSeek para o ChatGPT."
As extensões, publicadas em pelo menos 40 contas de desenvolvedores da Chrome Web Store, acumularam 75.486 instalações. Dos identificados, descobriu-se que 274 personificam 66 VPNs estabelecidas e marcas de privacidade, incluindo Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear, Cloudflare's 1.1.1.1 e Google's Outline, por Socket.
As extensões para contornar a censura “roteiam toda a sessão do navegador do usuário por meio de proxies SOCKS5 operados por um único provedor”, disse o pesquisador de segurança Kush Pandya. "520 dos 522 no corpus em massa roteiam o tráfego do navegador através da mesma infraestrutura SOCKS5."
Descobriu-se que a grande maioria das extensões roteia sessões inteiras do navegador dos usuários, definindo "chrome.proxy.settings" para um servidor SOCKS5 fixo na porta 1082, colocando o ator da ameaça em uma posição de adversário no meio (AitM) para observar destinos do navegador, endereços IP de origem, valores TLS SNI e qualquer corpo de solicitação enviado por HTTP simples.
Cada extensão que configura um proxy também vem com uma lista de bypass que inclui apenas endereços de loopback (ou seja, o host local ou 127.0.0.1"), o que significa que todas as outras solicitações do navegador são canalizadas através do relé SOCKS5 na porta 1082 assim que o usuário se conecta ao suposto serviço VPN.
Até 221 complementos de navegador foram removidos da Chrome Web Store, enquanto as 516 extensões restantes foram listadas como ativas. Diz-se que o ator da ameaça administra um negócio de VPN por assinatura na Rússia, com base em um número de contribuinte de 12 dígitos e no fato de que alguns deles vazam seu caminho de construção do Windows ("C:\Users\ollob\OneDrive\Документы\1.myxa-work\08.06.26\
Idealmente, a funcionalidade não é diferente de uma VPN legítima ou serviço de proxy. O aspecto definidor desta atividade é a tentativa de personificar marcas estabelecidas, em vez de oferecê-las em seu próprio nome. Algumas das outras bandeiras vermelhas incluem -
Anunciar níveis pagos (ou locais premium) que não existem
Evasão de lista de bloqueio DNS sobre HTTPS
Falha em todas as tentativas de conexão enquanto mostra uma interface falsa completa, incluindo uma animação de conexão funcional e um indicador de status
Envio de um manual interno chamado "Промт для сотрудников" (traduzido como "Prompt para funcionários") que os instrui a evitar colocar o domínio diretamente em "chrome.proxy.settings" (e, em vez disso, fornecer apenas o IP resolvido) e evitar usar um domínio de outra extensão sem instruções separadas
Presença de comentários que indicam uma tentativa deliberada de contornar as políticas da Chrome Web Store
Adicionando uma nova camada de configuração remota após a aprovação da extensão
Tentativas de burlar o processo de revisão da Chrome Web Store enviando justificativas idênticas, afirmando "Nenhum dado transmitido a servidores externos" ou "Nenhum rastreamento ou registro do usuário"
“Para cada usuário afetado, enquanto a extensão está conectada, cada solicitação passa por um servidor controlado pelo agente da ameaça”, disse Pandya. “Se o autor da ameaça possui esses servidores proxy ou revende a capacidade de um provedor upstream, isso não pode ser resolvido a partir do código de extensão. Se revender, outra parte estará na mesma posição.”
“O que se estabelece a partir dos pacotes e da infraestrutura pública é a personificação, a configuração de proxy não revelada, os servidores premium inexistentes, as declarações falsas submetidas aos revisores das lojas e a substituição do código pós-aprovação”.
A extensão do Chrome removida ressurge com esquema de monetização
O desenvolvimento ocorre no momento em que o Netskope Threat Labs destaca o retorno de uma extensão do Google Chrome chamada “AI Sidebar com Deepseek, ChatGPT, Claude e muito mais”. meses depois de ter sido removido por envolvimento em táticas de caça furtiva imediata.
A sequência de atualização limpa e envenenada, espalhada pelas versões 1.7.2.0 e 1.7.3.0, ocorreu por meio da rede de distribuição de conteúdo CRX do Google em 31 de julho de 2026, lançando um esquema de monetização – uma adição “cirúrgica” de 21 linhas – construído em torno de eventos de atualização e desinstalação de extensões.
“A extensão lançou uma atualização benigna que removeu o código de roubo de dados e reconheceu sua irregularidade. Depois de duas semanas, puxou o tapete novamente com uma nova atualização”, disse a empresa de segurança cibernética.
“Embora não contenha mais o código de exfiltração de conversas, agora contém uma carga útil de monetização que abre um link de afiliado em uma guia do navegador em primeiro plano sempre que a extensão é atualizada e desinstalada. Além disso, suprime o redirecionamento de usuários do DeepSeek para o ChatGPT."
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #737 #extensões #vpn #do #chrome #capturadas #roteando #tráfego #por #meio #de #proxies. #verifique #se #você #tem #um
💡 Compartilhe e ajude nosso projeto a crescer!
Postar um comentário