Chrome Web Mağazasında Sahte VPN Eklentileri Kullanıcı Trafiğini Tek Bir Proxy Ağına Yönlendirdi

Chrome Web Store’da yayımlanan 737’den fazla sahte VPN ve proxy eklentisi, kullanıcıların internet trafiğini tek bir operatör tarafından yönetilen SOCKS5 proxy sunucularına yönlendirdi. Socket araştırmacıları, Proton VPN, NordVPN, Surfshark, ExpressVPN ile Cloudflare’ın 1.1.1.1 hizmetini taklit eden eklentilerin yaklaşık 75 bin kez indirildiğini belirledi. Kampanyanın özellikle Rusya’da engellenen servislere erişmek isteyen kullanıcıları hedeflediği görülürken Google’ın 200’den fazla eklentiyi kaldırmasına rağmen 500’den fazlasının mağazada kalmaya devam ettiği tespit edildi.

Sahte VPN Eklentileri Chrome Trafiğini SOCKS5 Proxy Sunucularına Aktarıyor

Socket araştırmacıları, kampanyaya bağlı eklentilerin Chrome’un internet bağlantısını operatörün kontrolündeki SOCKS5 proxy sunucularına yönlendirecek şekilde yapılandırıldığını belirledi. İncelenen 520 eklenti, tarayıcı trafiğinin tamamını 1082 numaralı port üzerinden söz konusu proxy altyapısına gönderirken saldırganların kullanıcıların hangi sitelere bağlandığını ve bağlantılara ilişkin teknik bilgileri görmesini sağlayan bir trafik yönlendirme zinciri kurdu.

Bir proxy üzerinden yönlendirilen bağlantılarda saldırganın görebildiği bilgiler, HTTPS kullanımına rağmen tamamen ortadan kalkmıyor. Socket, operatörün hedef adreslerini, TLS SNI değerlerini ve kullanıcının kaynak IP adresini görebildiğini belirtirken HTTP üzerinden gönderilen şifrelenmemiş istek gövdelerinin de okunabileceğini aktarıyor. HTTPS içeriğinin şifreli kalması ise saldırganın her durumda sayfanın içeriğini doğrudan okuyabileceği anlamına gelmiyor ancak bağlantı metadatası yine önemli bir gizlilik riski oluşturuyor.

Kampanyadaki eklentiler, Chrome Web Store’da güvenilir bir VPN hizmeti arayan kullanıcıların karşısına bilinen markaların adlarını kullanarak çıkıyor. Socket araştırmacıları Proton VPN, NordVPN, Surfshark, ExpressVPN ve Cloudflare 1.1.1.1 gibi hizmetlerin yanı sıra bazı eklentilerin aynı anda çok sayıda markayı taklit ettiğini belirledi.

Araştırmacılar kampanyanın 40 farklı yayıncı hesabı üzerinden yürütüldüğünü ve hesapların ortak bir analiz hesabıyla ilişkilendirildiğini tespit etti. Yayıncı hesaplarının çeşitlendirilmesi, aynı kampanya kapsamındaki eklentilerin tek bir geliştirici profili altında kolayca ilişkilendirilmesini zorlaştırırken ortak teknik izler araştırmacıların bağlantıyı kurmasına yardımcı oldu.

Socket, 104 eklentinin proxy sunucularının alan adlarını Cloudflare veya Google DNS-over-HTTPS servisleri üzerinden çözdüğünü belirledi. DNS sorgularının doğrudan kullanıcının internet servis sağlayıcısı veya yerel ağ altyapısı üzerinden yapılmaması, proxy altyapısının incelenmesini zorlaştıran ek bir katman oluşturdu.

Eklentiler ayrıca onay sürecinden geçtikten sonra uzaktan yapılandırma ekleyebilecek mekanizmalar kullandı. Araştırmacılar, proxy hedeflerini analiz araçlarından gizlemeye yönelik tekniklerin yanı sıra mağaza incelemelerinde yanıltıcı açıklamalar kullanıldığını belirlerken kampanyanın yalnızca marka taklidine dayanan basit bir sahte uygulama ağı olmadığını ortaya koydu.

Bazı eklentiler kullanıcılarına Japonya, Singapur, Kanada, Avustralya ve Türkiye gibi ülkelerde premium VPN sunucuları vaat etti. Socket, söz konusu sunucu konumlarının gerçekte bulunmadığını belirlerken bazı ödeme veya bağlantı mekanizmalarının da çalışmadığını tespit etti.

Araştırmacılar kod içerisindeki metinlerden hareketle kampanyanın Rusya merkezli ücretli bir VPN hizmetine kullanıcı yönlendirmeyi amaçladığını değerlendiriyor. Eklentilerin teknik yapısının tek başına yasa dışı bir proxy hizmetinden ayırt edilmesinin zor olması, saldırganların meşru bir VPN ürününün davranışlarını taklit ederek kullanıcı güvenini kazanmaya çalıştığını gösteriyor.

Socket araştırmacıları eklentileri topladığı sırada 212 örneğin Chrome Web Store’dan kaldırılmış olduğunu belirlediği için kampanyadaki tüm kodları inceleyemedi. Google’ın daha sonra 200’den fazla ilgili eklentiyi kaldırdığı aktarılırken araştırmacılar 500’den fazla eklentinin mağazada bulunmaya devam ettiğini bildirdi.

Kampanyanın toplam indirme sayısının yaklaşık 75 bin seviyesine ulaşması, kötü amaçlı veya yanıltıcı tarayıcı eklentilerinin yalnızca teknik bir tehdit olmadığını gösteriyor. Rusya’daki kullanıcıların engellenen çevrim içi hizmetlere erişmek için VPN araması, saldırganların bölgesel kullanıcı davranışını doğrudan dağıtım stratejisinin parçası haline getirdiğini ortaya koyuyor.

Socket, kampanyayla ilişkilendirilen tüm eklenti kimliklerini yayımlarken kullanıcıların tarayıcılarında söz konusu uzantıların bulunup bulunmadığını kontrol etmesini öneriyor. Şüpheli bir eklenti tespit edilmesi halinde uzantının kaldırılması tek başına yeterli olmayabileceği için Chrome’un proxy yapılandırmasının da normal ayarlara döndüğünün doğrulanması gerekiyor.

VPN veya proxy eklentisi seçen kullanıcıların yalnızca mağaza puanlarına veya indirme sayılarına güvenmemesi gerekiyor. Kullanıcıların yayıncı hesabını, uygulamanın resmî hizmetle ilişkisini, sunucu konumlarının doğrulanabilirliğini ve istenen izinleri incelemesi, özellikle internet trafiğinin tamamını yönlendiren tarayıcı uzantılarında daha güçlü bir güvenlik kontrolü sağlıyor.

Chrome Web Store’daki kampanya, tarayıcı eklentilerinin kullanıcı cihazında küçük bir yardımcı araç gibi görünmesine rağmen ağ trafiğinin tamamına erişebilen güçlü bir konuma sahip olduğunu gösteriyor. Kurumsal kullanıcılar açısından tarayıcı eklentilerinin yalnızca zararlı kod çalıştırıp çalıştırmadığının değil, DNS, proxy, ağ trafiği ve uzaktan yapılandırma davranışlarının da izlenmesi gerekiyor.