Pesquisadores identificaram 737 extensões gratuitas de VPN e proxy para Google Chrome envolvidas em uma operação que direcionava o tráfego de navegação dos usuários por uma infraestrutura de proxies. A campanha atingia principalmente usuários de língua russa interessados em acessar serviços bloqueados.

As extensões foram distribuídas por pelo menos 40 contas de desenvolvedores na Chrome Web Store e acumularam 75.486 instalações, segundo uma investigação da Socket. Entre os complementos identificados, 274 imitavam 66 marcas conhecidas de VPN e privacidade, incluindo Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear, Cloudflare 1.1.1.1 e Google Outline.

A análise mostrou que grande parte das extensões direcionava toda a sessão do navegador por proxies SOCKS5 operados por um único provedor. Em um conjunto de 522 extensões analisadas em massa, 520 utilizavam a mesma infraestrutura SOCKS5.

Para realizar o redirecionamento, os complementos modificavam a configuração chrome.proxy.settings, apontando o navegador para um servidor SOCKS5 fixo na porta 1082. Com isso, a infraestrutura responsável pelo proxy ficava em uma posição de adversary-in-the-middle (AitM), ou adversário no meio da comunicação.

Essa posição possibilita observar informações como os destinos acessados pelo navegador, endereços IP de origem, valores TLS SNI e o conteúdo de requisições transmitidas por HTTP sem criptografia.

As extensões que configuravam o proxy também possuíam uma lista de exceções limitada aos endereços de loopback, como localhost e 127.0.0.1. Na prática, quando o usuário ativava o suposto serviço de VPN, praticamente todas as demais solicitações do navegador eram encaminhadas pelo relay SOCKS5 na porta 1082.

Até a análise, 221 extensões haviam sido removidas da Chrome Web Store, enquanto outras 516 ainda apareciam como ativas.

Segundo os pesquisadores, o responsável pela infraestrutura aparentemente opera um serviço comercial de VPN por assinatura na Rússia. Entre os indícios estão um número de identificação fiscal de 12 dígitos e caminhos de compilação do Windows encontrados em alguns pacotes contendo diretórios escritos em russo.

O funcionamento de encaminhar tráfego por proxies, isoladamente, não diferencia esses complementos de serviços legítimos de VPN. O principal problema identificado é a tentativa de se passar por marcas estabelecidas, em vez de oferecer o serviço sob uma identidade própria, além da falta de transparência sobre a infraestrutura utilizada.

A investigação encontrou outros sinais suspeitos, incluindo ofertas de planos pagos ou localidades premium inexistentes, mecanismos para contornar listas de bloqueio via DNS-over-HTTPS e extensões que falhavam em todas as tentativas de conexão enquanto exibiam uma interface falsa completa, com animações e indicadores de status aparentemente funcionais.

Também foi localizado um manual interno chamado “Prompt para funcionários”, que orientava desenvolvedores a não inserir diretamente domínios em chrome.proxy.settings, utilizando apenas o endereço IP resolvido. O documento ainda recomendava não reutilizar domínios empregados por outras extensões sem instruções específicas.

Comentários presentes no código indicavam tentativas deliberadas de evitar políticas da Chrome Web Store. Os pesquisadores também identificaram a inclusão de uma camada de configuração remota após a aprovação das extensões e justificativas repetidas enviadas durante o processo de revisão, alegando que nenhum dado era transmitido a servidores externos e que não havia rastreamento ou registro de usuários.

Segundo a Socket, enquanto uma extensão afetada permanece conectada, todas as requisições passam por um servidor controlado pela infraestrutura responsável pela operação. O código, entretanto, não permite determinar se os operadores possuem diretamente esses proxies ou revendem capacidade de outro provedor.

A investigação estabelece evidências de falsificação de marcas, configuração não informada de proxies, servidores premium inexistentes, declarações falsas durante o processo de revisão da loja e alterações de código realizadas após a aprovação.

Em um caso separado, a Netskope Threat Labs também identificou o retorno da extensão “AI Sidebar with Deepseek, ChatGPT, Claude, and more.”, removida anteriormente após ser associada a técnicas de Prompt Poaching.

Depois de uma atualização considerada legítima que retirou o código responsável pelo roubo de dados, uma nova versão foi distribuída cerca de duas semanas depois. As versões 1.7.2.0 e 1.7.3.0 foram entregues pela infraestrutura CRX do Google em 31 de julho de 2026.

O novo código não continha mais o mecanismo de exfiltração de conversas, mas adicionava uma função de monetização que abria um link de afiliado em uma nova aba sempre que a extensão era atualizada ou desinstalada. O código também impedia o redirecionamento de usuários do DeepSeek para o ChatGPT.