Pesquisadores de segurança da informação da empresa Socket identificaram uma operação cibernética em grande escala que envolve 737 extensões de VPN e proxy distribuídas na loja oficial do Google Chrome.
O ecossistema malicioso acumulou mais de 75 mil instalações em pelo menos 40 contas de desenvolvedores distintas. A campanha atinge principalmente usuários que buscam burlar bloqueios de acesso a serviços populares na internet.
O mecanismo utilizado pelos operadores consiste no redirecionamento sistemático do tráfego do navegador por meio de uma infraestrutura privada de proxies SOCKS5. Esse procedimento coloca os atacantes em uma posição privilegiada de interceptação, permitindo a observação de metadados de navegação e requisições de rede executadas pelos usuários infectados.
No entanto, a magnitude da campanha chamou a atenção dos analistas devido ao nível de coordenação e ao uso intensivo de personificação de marcas consolidadas no setor de privacidade digital.
Mecanismo técnico e interceptação de tráfego
A análise técnica do código-fonte de 525 extensões recuperadas revelou que a maioria dos complementos aplica alterações diretas na API chrome.proxy.settings. Ao ativar a extensão, o navegador passa a rotear praticamente todas as conexões para um servidor SOCKS5 pré-configurado na porta 1082.
A configuração de desvio inclui unicamente os endereços de loopback locais, como o IP 127.0.0.1. Consequentemente, qualquer requisição para sites externos é canalizada obrigatoriamente pela infraestrutura mantida pelo grupo criminoso. Essa arquitetura estabelece uma posição conhecida tecnicamente como Adversary-in-the-Middle (AitM).
Dessa forma, os administradores da rede proxy obtêm visibilidade sobre:
• Endereços IP de origem das requisições
• Domínios de destino acessados pelo navegador
• Informações contidas no cabeçalho TLS SNI
• Conteúdo integral de requisições transmitidas em HTTP não criptografado
Certamente, o modelo compromete a privacidade esperada ao utilizar uma ferramenta de proteção de dados, transformando o próprio mecanismo de defesa em um ponto de vulnerabilidade cibernética.
Personificação de marcas consolidadas e alcance
Entre as 737 extensões catalogadas pela equipe de pesquisa, 274 utilizavam o nome, logotipo e identidade visual de 66 serviços conhecidos de VPN e segurança. A estratégia de camuflagem visava atrair usuários que buscavam soluções confiáveis na Chrome Web Store.
Marcas Utilizadas Indevidamente
A lista de serviços personificados pelos artefatos maliciosos inclui fornecedores amplamente utilizados em escala global:
• Proton VPN, NordVPN e ExpressVPN
• Surfshark, CyberGhost e Windscribe
• AdGuard VPN, Browsec e TunnelBear
• Serviços de infraestrutura como 1.1.1.1 da Cloudflare e Outline da Google
Os dados indicam que as versões falsificadas dessas marcas foram responsáveis por mais de 38 mil instalações individuais, representando metade do total de infecções identificadas durante a investigação.
Atribuição e origem da infraestrutura
O rastreamento de registros de domínios, identificadores de código, artefatos de compilação vazados e dados públicos de rede permitiu aos pesquisadores associar a operação a uma empresa comercial de VPNs sediada na Rússia, denominada Myxa VPN (ou Муха VPN).
Caminhos de compilação extraídos do código-fonte continham estruturas de diretórios no ambiente Windows pertencentes ao desenvolvedor da ameaça. Além disso, a investigação identificou a presença de um número de registro fiscal de 12 dígitos vinculado a operações comerciais no país.
A campanha focava predominantemente usuários de língua russa em busca de acesso a plataformas restritas na região, como Instagram, YouTube e ChatGPT. Porém, a disponibilidade pública na Chrome Web Store expôs usuários de diversas outras regiões geográficas que buscavam extensões gratuitas de privacidade.
Ações de mitigação e situação atual
Após a notificação dos achados técnicos, o Google procedeu com a remoção de 221 extensões da Chrome Web Store. No entanto, mais de 500 complementos vinculados à mesma estrutura permaneciam ativos no momento da publicação do relatório de segurança.
A persistência de extensões maliciosas em lojas oficiais evidencia os desafios contínuos na verificação automatizada de complementos para navegadores. A substituição do código após a aprovação inicial e o gerenciamento remoto de configurações figuram entre as táticas empregadas para burlar os filtros de segurança das plataformas.
Em ambientes corporativos e pessoais, a verificação periódica de extensões instaladas e o bloqueio de permissões de proxy por políticas de grupo representam as medidas padrão de contenção recomendadas por especialistas em infraestrutura de TI.
