Socket halló una campaña de 737 extensiones en la Chrome Web Store que se hicieron pasar por servicios VPN conocidos y forzaron el envío del tráfico del navegador a proxies SOCKS5, permitiendo al operador leer destinos, valores SNI y datos no cifrados.
Por qué importa: con todo el tráfico del navegador canalizado por el relay, el operador puede conocer los sitios visitados, el nombre de servidor TLS (SNI), la IP de origen y cualquier cuerpo de petición enviado por HTTP plano, según Socket.
Lo esencial
- Socket encontró 737 extensiones que impersonaban marcas de VPN y proxys.
- Al menos 520 extensiones forzaban todo el tráfico del navegador a proxies SOCKS5 en el puerto 1082.
- Las extensiones se descargaron cerca de 75.000 veces, principalmente por usuarios en Rusia.
Extensiones que fuerzan SOCKS5 desde el navegador
Socket identificó 520 extensiones que configuraban Chrome para enrutar todo el tráfico del navegador a proxies SOCKS5 (un protocolo de proxy) operados por un único proveedor, usando el puerto 1082. Al obligar ese túnel, el servidor remoto queda en posición de observar destinos, valores TLS SNI (Server Name Indication), la IP de origen y cualquier contenido enviado en HTTP sin cifrar.
Técnicas observadas para ocultar la infraestructura
Los investigadores informan que la campaña usó 40 cuentas de publicador y un cuenta de analítica compartida. Al menos 104 extensiones resolvían los nombres de host de proxy mediante DNS-over-HTTPS (DoH) con Cloudflare o Google, lo que dificulta el escrutinio tradicional de dominios. Socket también detectó tácticas como añadir configuración remota después de la aprobación, ocultar destinos de proxy y anuncios de servidores premium inexistentes.
