🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Mais de 737 extensões de navegador publicadas na Chrome Web Store personificaram serviços VPN e proxy conhecidos enquanto roteavam o tráfego dos usuários por meio de proxies SOCKS5 operados por um único provedor.
Algumas das extensões representavam dezenas de marcas estabelecidas, incluindo Proton VPN, NordVPN, Surfshark, ExpressVPN e o resolvedor de sistema de nomes de domínio público (DNS) 1.1.1.1 da Cloudflare.
Pesquisadores da empresa de segurança de aplicativos Socket descobriram que a campanha dependia de 40 contas de editores e usava uma conta analítica compartilhada.
Enquanto estavam na Chrome Web Store, as extensões foram baixadas quase 75 mil vezes, principalmente por usuários russos que procuravam ferramentas para contornar serviços bloqueados no país.
“Com todo o tráfego do navegador forçado através dele [o retransmissor], o servidor do agente da ameaça está posicionado para ler cada destino, cada valor TLS SNI, o IP de origem da vítima e qualquer corpo de solicitação enviado por HTTP simples”, explica Socket.
Os pesquisadores identificaram três comportamentos de ameaça associados à campanha:
520 extensões configuraram o Chrome para rotear todo o tráfego do navegador através dos proxies SOCKS5 da operadora na porta 1082.
104 extensões resolveram seus nomes de host proxy por meio do Cloudflare ou do Google DNS sobre HTTPS para proteger o domínio da operadora contra escrutínio.
Extensões que anunciavam servidores premium inexistentes no Japão, Singapura, Canadá, Austrália e Turquia por fraude de assinatura
O Socket não conseguiu analisar o código em todas as extensões porque 212 delas já haviam sido removidas quando os pesquisadores as coletaram.
Com base nas strings encontradas, a campanha parece ser uma tentativa de direcionar os clientes para um serviço VPN baseado em assinatura na Rússia.
Os investigadores observaram que o mecanismo utilizado pelas extensões não parece diferente daquele de um serviço legítimo, mas identificaram vários indicadores de engano intencional:
personificando marcas conhecidas
anunciando locais de servidores premium inexistentes
mecanismos não funcionais de pagamento ou conexão
divulgações enganosas para revisores de lojas
adicionando configuração remota após a aprovação da extensão
o uso de técnicas para ocultar destinos de proxy da análise
Socket diz que embora o Google tenha removido mais de 200 extensões relacionadas à campanha identificada, mais de 500 delas ainda estão disponíveis na Web Store do Chrome.
Socket publicou os IDs de todas as extensões vinculadas à campanha e recomenda que os usuários verifiquem qualquer uma delas em seus navegadores e as removam se encontradas. Eles também devem confirmar se a configuração do proxy do Chrome voltou ao normal.
Depois que os invasores tiverem credenciais válidas, apenas 37% de suas ações serão bloqueadas
As pontuações gerais de prevenção podem ocultar o que acontece após o acesso inicial. Quando os invasores usam credenciais válidas, a prevenção cai drasticamente. O Blue Report 2026 mede as defesas técnica por técnica em 338 milhões de simulações executadas em ambientes de produção de clientes.
Obtenha o relatório
Algumas das extensões representavam dezenas de marcas estabelecidas, incluindo Proton VPN, NordVPN, Surfshark, ExpressVPN e o resolvedor de sistema de nomes de domínio público (DNS) 1.1.1.1 da Cloudflare.
Pesquisadores da empresa de segurança de aplicativos Socket descobriram que a campanha dependia de 40 contas de editores e usava uma conta analítica compartilhada.
Enquanto estavam na Chrome Web Store, as extensões foram baixadas quase 75 mil vezes, principalmente por usuários russos que procuravam ferramentas para contornar serviços bloqueados no país.
“Com todo o tráfego do navegador forçado através dele [o retransmissor], o servidor do agente da ameaça está posicionado para ler cada destino, cada valor TLS SNI, o IP de origem da vítima e qualquer corpo de solicitação enviado por HTTP simples”, explica Socket.
Os pesquisadores identificaram três comportamentos de ameaça associados à campanha:
520 extensões configuraram o Chrome para rotear todo o tráfego do navegador através dos proxies SOCKS5 da operadora na porta 1082.
104 extensões resolveram seus nomes de host proxy por meio do Cloudflare ou do Google DNS sobre HTTPS para proteger o domínio da operadora contra escrutínio.
Extensões que anunciavam servidores premium inexistentes no Japão, Singapura, Canadá, Austrália e Turquia por fraude de assinatura
O Socket não conseguiu analisar o código em todas as extensões porque 212 delas já haviam sido removidas quando os pesquisadores as coletaram.
Com base nas strings encontradas, a campanha parece ser uma tentativa de direcionar os clientes para um serviço VPN baseado em assinatura na Rússia.
Os investigadores observaram que o mecanismo utilizado pelas extensões não parece diferente daquele de um serviço legítimo, mas identificaram vários indicadores de engano intencional:
personificando marcas conhecidas
anunciando locais de servidores premium inexistentes
mecanismos não funcionais de pagamento ou conexão
divulgações enganosas para revisores de lojas
adicionando configuração remota após a aprovação da extensão
o uso de técnicas para ocultar destinos de proxy da análise
Socket diz que embora o Google tenha removido mais de 200 extensões relacionadas à campanha identificada, mais de 500 delas ainda estão disponíveis na Web Store do Chrome.
Socket publicou os IDs de todas as extensões vinculadas à campanha e recomenda que os usuários verifiquem qualquer uma delas em seus navegadores e as removam se encontradas. Eles também devem confirmar se a configuração do proxy do Chrome voltou ao normal.
Depois que os invasores tiverem credenciais válidas, apenas 37% de suas ações serão bloqueadas
As pontuações gerais de prevenção podem ocultar o que acontece após o acesso inicial. Quando os invasores usam credenciais válidas, a prevenção cai drasticamente. O Blue Report 2026 mede as defesas técnica por técnica em 338 milhões de simulações executadas em ambientes de produção de clientes.
Obtenha o relatório
#samirnews #samir #news #boletimtec #centenas #de #extensões #vpn #falsas #do #chrome #direcionam #o #tráfego #por #meio #de #um #proxy
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário