// HEISE ONLINE — CYBERSECURITY
Hunderte irreführende VPN-Erweiterungen im Chrome Store
Über 500 betrügerische Browsererweiterungen hat ein Sicherheitsunternehmen im Chrome Web Store gefunden. Google lasse die Herausgeber unbehelligt weitermachen.
Sujet einer von über 500 verdächtigen „VPN“-Erweiterungen im Chrome Web Store; die meisten zielen auf Russischsprecher.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Zur Umgehung amtlicher Websperren brauchen Nutzer verschlüsselte Verbindungen (Virtual Private Networks, VPN). Es gibt zahlreiche Anbieter – aber auch Betrüger, die unter fremden Namen auftreten. Anfang Juni hat Palo Alto Networks über 18 betrügerische Erweiterungen für Chrome und andere Chromium-basierte Browser berichtet, die im Chrome Web Store feilgeboten werden. Doch das Problem ist viel größer. Google hat nur teilweise reagiert. Das IT-Sicherheitsunternehmen Socks beschuldigt den Datenkonzern, die Herausgeberkonten einfach weitermachen zu lassen.
Demnach haben jene 15 Herausgeber, die Palo Alto Networks vor über zwei Monaten aufgedeckt hat, immer noch 250 Plugins im Chrome Web Store gelistet, die zum Teil die selben IP-Adressen nutzen. heise security hat Google gefragt, wann es von den Machenschaften in Kenntnis gesetzt wurde und warum es die Herausgeberkonten unbehelligt lässt. Eines der 18 Anfang Juni aufgeflogenen Plugins sei nach wie vor im Chrome Web Store, sagt Socks. Diese Firma haben wir gefragt, wann sie Google über ihre Erkenntnisse informiert hat.
Palo Alto Networks Entdeckung war nur die Spitze des Eisberges. Socks hat nicht weniger als 737 verdächtige angebliche VPN-Erweiterungen mit (laut Chrome Web Store) insgesamt rund 75,000 Installationen ausgemacht, verteilt auf 40 Herausgeber. Google hat 221 Erweiterungen entfernt, die restlichen 516 waren am Dienstag noch online. Strichproben heise securitys von Donnerstagabend zeigen, dass tatsächlich noch viele der inkriminierten Browsererweiterungen online sind. Nur eine einzelne Erweiterung konnten wir im Chrome Web Store nicht mehr vorfinden.
Insgesamt hat Socks 525 Erweiterungen analysieren können. Alle dürften aus der selben Quelle stammen, nutzen sie doch das selbe Analytics-Konto bei Yandex Metrika. Zudem gibt es andere technische Gemeinsamkeiten und, in mehr als der Hälfte der Fälle, für eine verbundene Domain die selbe russische Steuernummer eines Einzelunternehmers. Über 90 Prozent richten sich an russisch sprechende Nutzer.
Häufig geben die Erweiterungen vor, von einem bekannten VPN-Dienst wie Proton, NordVPN, Surfshark, Adguard, Windscribe oder von Cloudflare oder Google zu stammen. Insgesamt sind 66 Marken betroffen, darunter AmneziaVPN und AntiZapret, die in Russland für erfolgreiche Websperrenumgehung bekannt sind. Mache Einträge im Chrome Web Store behaupten, dass ein namentlich genannter russischer Journalist sie empfehlen würde, wofür es aber sonst keine Anhaltspunkte gibt. Auch erfundene Markennamen werden für den angeblichen VPN-Dienst genutzt.
Fast alle analysierten Erweiterungen erbitten nur die Browserberechtigung proxy und leiten dann jeglichen Browserverkehr (ausgenommen lokaler Loopbacks) über eine SOCKS5-Infrastruktur – ähnlich wie ein legitimes VPN es tun könnte, nur ohne jegliche eigene Verschlüsselung. Alle bieten „Premium”-Abonnements für angeblichen Zugriff auf 200 Server in Australien, Japan, Kanada, Singapur und der Türkei an, bezahlt wird über Telegram. Tatsächlich habe kein einziger dieser 200 Server einen A-Eintrag im DNS, sagt Socks.
Wer bezahlt, bezahlt also für nichts. Nur für eine Einzelne der Erweiterungen gibt es ein Abonnement, bei dem Verkehr über VLESS-REALITY auf Port 443 läuft, was womöglich Deep Packet Inspection verhindert.