数百件の偽Chrome VPN拡張機能、プロキシ経由でトラフィックを誘導

Chromeウェブストアで公開されていた737件を超えるブラウザ拡張機能が、著名なVPN・プロキシサービスになりすまし、利用者のトラフィックを単一の事業者が運営するSOCKS5プロキシ経由で送信していたことが分かりました。

これらの拡張機能の中には、Proton VPN、NordVPN、Surfshark、ExpressVPN、Cloudflareのパブリックドメインネームシステム(DNS)リゾルバー「1.1.1.1」など、数十の有名ブランドになりすましていたものも含まれていました。

アプリケーションセキュリティ企業Socketの研究者らは、この キャンペーンが40件のパブリッシャーアカウントを利用し、共通の分析用アカウントを使用していたことを突き止めました。

これらの拡張機能はChromeウェブストア上で合計約75,000回ダウンロードされており、その大半はロシア国内でブロックされたサービスを回避する手段を探していたロシア人ユーザーによるものでした。

「（中継プロキシに）すべてのブラウザトラフィックが強制的に通されることで、攻撃者のサーバーはあらゆる宛先、あらゆるTLS SNI値、被害者の送信元IP、そして平文HTTPで送信されるリクエスト本文をすべて読み取れる立場に置かれます」とSocketは説明しています。

研究者らは、このキャンペーンに関連する3つの脅威的な挙動を特定しました。

• 520件の拡張機能が、ポート1082上の運営者のSOCKS5プロキシを経由してすべてのブラウザトラフィックを転送するようChromeを設定
• 104件の拡張機能が、運営者のドメインを精査から守るため、CloudflareまたはGoogleのDNS over HTTPS経由でプロキシのホスト名を解決
• 日本、シンガポール、カナダ、オーストラリア、トルコに実在しないプレミアムサーバーがあると宣伝し、サブスクリプション詐欺を行う拡張機能

拡張機能のうち212件は、研究者らが収集した時点で既に削除されていたため、Socketはすべてのコードを分析することはできませんでした。

発見された文字列から判断すると、このキャンペーンはロシア国内のサブスクリプション型VPNサービスへ利用者を誘導しようとする試みとみられます。

研究者らは、これらの拡張機能が用いている仕組み自体は正規サービスのものと変わらないように見えるとしつつも、意図的な欺瞞を示すいくつかの兆候を特定しています。

• 有名ブランドへのなりすまし
• 実在しないプレミアムサーバーの所在地の宣伝
• 機能しない決済・接続の仕組み
• ストアの審査担当者に対する誤解を招く開示内容
• 拡張機能の承認後にリモート設定を追加
• プロキシの接続先を分析から隠す手法の使用

Socketによると、Googleは今回特定されたキャンペーンに関連する拡張機能を200件以上削除したものの、500件を超える拡張機能が依然としてChromeウェブストアで入手可能な状態にあるといいます。

Socketは今回のキャンペーンに関連する全拡張機能のIDを公開しており、ユーザーに対して自身のブラウザにこれらの拡張機能がインストールされていないか確認し、見つかった場合は削除するよう推奨しています。また、Chromeのプロキシ設定が正常な状態に戻っているかも併せて確認すべきだとしています。