Una extensa red de VPN falsas en Chrome: la «seguridad» al descubierto
Hace unos días, el Threat Research Team de la empresa Socket destapó una amplia red de extensiones VPN falsas para el navegador Google Chrome. Supuestamente garantizaban el anonimato de los usuarios, pero en realidad desviaban todo su tráfico de Internet a servidores controlados por los atacantes.
Los expertos detectaron 737 extensiones gratuitas de VPN y proxy, publicadas en la tienda oficial Chrome Web Store al menos en nombre de 40 desarrolladores distintos. De ellas, 274 se hacían pasar directamente por 66 marcas de VPN conocidas, como NordVPN y Proton VPN. En total, todas estas aplicaciones superaban las 75.000 instalaciones; la mayoría correspondía a usuarios rusoparlantes que buscaban una forma de acceder a sitios bloqueados.
El equipo de Socket descubrió que detrás de toda la red estaba un único servicio ruso de suscripción llamado Myxa VPN. Los investigadores vincularon las extensiones falsas mediante varias pistas: una cuenta de analítica compartida, los mismos datos de registro de dominios, alojamiento idéntico y rutas filtradas de compilación de aplicaciones para Windows que apuntaban a una misma carpeta de proyecto.
Las extensiones gratuitas funcionaban como embudo: redirigían a los usuarios a planes de pago que prometían acceso a servidores «premium» por todo el mundo. Sin embargo, Socket probó unos 200 de esos destinos y descubrió que ninguno de los servidores anunciados en Japón, Singapur o Australia era real: sencillamente no existían.
El truco principal de todas estas extensiones era el mismo: al pulsar «Conectar», todo el tráfico del navegador pasaba por el servidor de los atacantes, sin excepción para ningún sitio. No se cifraba el tráfico; es decir, no había ninguna de las protecciones por las que la gente suele instalar una VPN. Es más, más de un centenar de extensiones empleaban métodos para ocultar su rastro y dificultar los bloqueos mediante DNS-over-HTTPS de Google y Cloudflare.
Al ocupar una posición intermedia, los propietarios tenían pleno control sobre los datos de los usuarios: podían ver las direcciones de los sitios visitados, los metadatos de conexión, las direcciones IP de los usuarios e incluso toda la información introducida en páginas HTTP sin cifrar, como nombres de usuario y contraseñas. Los investigadores no pudieron determinar si los operadores abusaron de ese acceso o robaron información, pero la mera posibilidad ya resulta inquietante.
Google ya ha empezado a retirar las extensiones fraudulentas, pero cuando Socket publicó su informe todavía quedaban más de 500 conexiones sospechosas en la tienda. Solo se había eliminado un tercio. La amenaza sigue acechando a los usuarios despistados de Chrome.
A quienes hayan instalado una extensión de este tipo se les recomienda eliminarla de inmediato, revisar la configuración del proxy del navegador y cambiar las contraseñas introducidas en sitios sin cifrar. Para comprobar el proxy, basta con buscar la palabra «proxy» en la configuración de Chrome.
PEREC.RU
A los anales de los cuentos absurdos y despiadados de las TI se suma un nuevo capítulo. Un grupo de entusiastas de Socket organizó una auténtica expedición arqueológica a Chrome Web Store y sacó a la luz casi 750 extensiones «VPN gratuitas». Esas que prometen invisibilidad en la red y, en la práctica, convierten tu anonimato en carne picada para el laboratorio de algún estudiante.
Y aún hay más: un tercio de las extensiones se camufla como marcas reconocidas, como NordVPN y Proton. ¿El cebo para los rusoparlantes? Claro, justo quieren encontrar sitios bloqueados. Pero lo que les toca no es acceso, sino la posibilidad de entregar sus contraseñas a sabe Dios quién.
La investigación conduce directamente a Myxa VPN, un proyecto casualmente ruso (que no falte el color local). Los dominios se parecen, las cuentas son compartidas y esos servidores tan familiares de Japón y Australia solo existen en la imaginación de sus desarrolladores.
¿El usuario se ha descargado esta «maravilla»? Que se prepare para el baile: todo su tráfico es de ellos; el cifrado, olvidado. Cualquiera que aspire a la libertad acaba en la palma de la mano de los dueños del proxy. Contraseñas, nombres de usuario, sitios: todo queda a la vista. Y luego puedes pasarte meses contándoles a tus amigos que en Internet «no pasa nada».
Google, como de costumbre, no ha estado a la altura: han eliminado algo más de un tercio de las extensiones; el resto sigue ahí. Revisa la configuración, cambia las contraseñas y, la próxima vez, piénsatelo dos veces antes de instalar algo que solo en la imaginación de sus creadores se parece a NordVPN. Fácil y agotador.
