Uma investigação da Socket.dev descobriu 737 extensões do Google Chrome envolvidas numa grande operação de redirecionamento de tráfego, sendo muitas delas apresentadas como VPNs ou proxies gratuitos. Em conjunto, as extensões ultrapassaram 75 mil instalações.
O problema é especialmente preocupante porque estas ferramentas prometiam aumentar a privacidade. No entanto, quando eram ativadas, podiam encaminhar praticamente toda a navegação do Chrome através de servidores controlados pelos responsáveis pela operação.
Extensões podiam acompanhar os sites visitados
Como avança o site Cyber Security News, dos 522 pacotes analisados pela Socket, 520 configuravam o Chrome para utilizar servidores proxy SOCKS5.
Um proxy funciona como um intermediário entre o navegador e os sites visitados. Neste caso, os operadores poderiam conhecer os destinos acedidos, o endereço IP do utilizador e outras informações sobre as ligações.
Em páginas que ainda utilizassem HTTP sem encriptação, até o conteúdo enviado poderia ficar exposto, incluindo dados sensíveis. Em HTTPS, o conteúdo permanece protegido, mas ainda seria possível observar informações suficientes para reconstruir parte dos hábitos de navegação.
A investigação não afirma que todos estes dados tenham sido efetivamente roubados. O que a Socket.dev demonstrou é que a infraestrutura colocava os operadores numa posição técnica que lhes permitia observar grande parte da atividade online dos utilizadores.
Algumas imitavam VPNs conhecidas
A Socket.dev identificou ainda 274 extensões que copiavam nomes ou marcas de 66 serviços conhecidos de VPN e privacidade, incluindo Proton VPN, NordVPN, Surfshark, ExpressVPN e Cloudflare 1.1.1.1.
Isto criava uma falsa sensação de segurança, já que o utilizador podia acreditar que estava a instalar uma ferramenta legítima.
Algumas extensões utilizavam ainda DNS-over-HTTPS ou configurações remotas, o que dificultava a identificação da infraestrutura utilizada e permitia alterar o comportamento sem uma nova atualização visível.
Quando os dados foram recolhidos, a Google já tinha removido 221 extensões, mas 516 continuavam disponíveis, conforme observou a Socket.
A lista completa com IDs de extensões disponíveis na Chrome Web Store pode ser conferida no relatório da Socket.
Instalaste uma VPN desconhecida? É melhor verificar
Quem tiver instalado uma extensão de VPN ou proxy pouco conhecida deve removê-la o quanto antes. Também é importante não confiar apenas no nome ou logótipo apresentado na Chrome Web Store. Antes de instalar uma VPN, confirma quem é o verdadeiro programador, quais permissões são pedidas e se o endereço da extensão corresponde ao indicado no site oficial da empresa.
Entre as opções disponíveis para Chrome estão serviços conhecidos como Proton VPN e Urban VPN.
