Ratusan Ekstensi VPN Chrome Palsu Diam-Diam Mengarahkan Trafik Pengguna ke Proxy

Lebih dari 737 ekstensi browser yang tersedia di Chrome Web Store ditemukan menyamar sebagai layanan VPN dan proxy populer. Alih-alih memberikan layanan seperti yang dijanjikan, ekstensi tersebut justru mengarahkan trafik pengguna melalui SOCKS5 proxy yang dikendalikan oleh satu penyedia.

Kampanye ini menyasar sejumlah merek VPN dan layanan jaringan yang sudah dikenal luas, termasuk Proton VPN, NordVPN, Surfshark, ExpressVPN, hingga resolver DNS publik Cloudflare 1.1.1.1.

Temuan tersebut diungkap oleh perusahaan keamanan aplikasi Socket. Peneliti menemukan bahwa kampanye ini dijalankan menggunakan 40 akun publisher berbeda yang terhubung melalui satu akun analytics.

Secara keseluruhan, ekstensi-ekstensi tersebut telah diunduh hampir 75.000 kali dari Chrome Web Store. Sebagian besar pengguna disebut berasal dari Rusia, khususnya mereka yang mencari layanan VPN atau proxy untuk mengakses layanan yang diblokir di negara tersebut.

Trafik Pengguna Dialihkan Melalui SOCKS5 Proxy

Salah satu aspek paling mengkhawatirkan dari kampanye ini adalah cara ekstensi tersebut memanipulasi konfigurasi jaringan Chrome.

Sebanyak 520 ekstensi diketahui dikonfigurasi untuk mengarahkan seluruh trafik browser melalui SOCKS5 proxy milik operator pada port 1082. Dengan mekanisme tersebut, koneksi internet pengguna tidak lagi berjalan langsung ke layanan tujuan, melainkan terlebih dahulu melewati server yang dikendalikan operator.

Posisi tersebut memberikan visibilitas yang sangat luas terhadap aktivitas jaringan korban. Operator proxy berpotensi mengetahui alamat tujuan yang diakses, nilai TLS SNI, alamat IP sumber pengguna, hingga isi permintaan yang dikirim melalui HTTP tanpa enkripsi.

Dengan kata lain, ekstensi yang terlihat seperti layanan VPN biasa dapat memberikan pihak lain posisi strategis untuk mengamati lalu lintas internet pengguna.

DNS-over-HTTPS Digunakan untuk Menyembunyikan Infrastruktur

Peneliti juga menemukan 104 ekstensi yang menggunakan Cloudflare atau Google DNS-over-HTTPS untuk melakukan resolusi hostname proxy.

Teknik tersebut dapat menyulitkan proses analisis karena tujuan proxy tidak selalu terlihat secara langsung melalui mekanisme resolusi DNS biasa. Penggunaan DNS-over-HTTPS juga membantu menyamarkan infrastruktur yang digunakan operator dari pemeriksaan jaringan tertentu.

Selain itu, sebagian ekstensi mengiklankan lokasi server premium di Jepang, Singapura, Kanada, Australia, dan Turki. Namun, server-server tersebut ternyata tidak benar-benar tersedia.

Model tersebut mengindikasikan adanya upaya untuk menarik pengguna agar berlangganan layanan yang ditawarkan, meskipun fasilitas premium yang dijanjikan sebenarnya tidak ada.

Meniru Merek VPN Populer

Kampanye ini menggunakan impersonation sebagai salah satu teknik utama untuk membangun kepercayaan calon pengguna.

Nama dan tampilan ekstensi dibuat menyerupai layanan VPN maupun proxy yang sudah dikenal. Pengguna yang mencari layanan tertentu di Chrome Web Store dapat dengan mudah mengira bahwa ekstensi tersebut merupakan produk resmi dari merek yang ditirunya.

Peneliti menemukan sejumlah indikator yang menunjukkan bahwa aktivitas tersebut dilakukan secara sengaja, bukan sekadar kesalahan dalam pengembangan ekstensi.

Indikator tersebut mencakup penyamaran sebagai merek terkenal, promosi lokasi server premium yang tidak tersedia, mekanisme pembayaran atau koneksi yang tidak berfungsi, serta informasi yang menyesatkan dalam proses pemeriksaan oleh pengelola toko ekstensi.

Ekstensi juga diketahui dapat menerima konfigurasi dari jarak jauh setelah berhasil melewati proses persetujuan. Teknik ini memungkinkan perilaku ekstensi berubah setelah dipublikasikan, sehingga kode atau fungsi yang diperiksa saat proses review belum tentu mencerminkan perilaku setelah digunakan oleh korban.

Sebagian Ekstensi Sudah Dihapus

Socket tidak dapat menganalisis seluruh ekstensi yang teridentifikasi karena 212 ekstensi sudah dihapus ketika peneliti mengumpulkan sampel.

Meski demikian, string dan indikator yang ditemukan dalam ekstensi yang masih dapat dianalisis menunjukkan bahwa kampanye tersebut kemungkinan berkaitan dengan upaya mengarahkan pengguna menuju layanan VPN berbasis subscription di Rusia.

Yang membuat kampanye ini semakin sulit dikenali adalah mekanisme proxy yang digunakan pada dasarnya tidak berbeda jauh dari cara kerja layanan VPN atau proxy yang sah. Perbedaannya terletak pada transparansi, identitas operator, serta cara ekstensi tersebut memperoleh dan mengarahkan trafik pengguna.

Lebih dari 500 Ekstensi Masih Tersedia

Penghapusan oleh Google belum sepenuhnya menghentikan kampanye tersebut.

Google dilaporkan telah menghapus lebih dari 200 ekstensi yang berkaitan dengan kampanye ini. Namun, lebih dari 500 ekstensi lainnya masih ditemukan tersedia di Chrome Web Store ketika penelitian dilakukan.

Socket telah mengidentifikasi ID ekstensi yang berkaitan dengan kampanye tersebut dan menyarankan pengguna untuk memeriksa browser mereka guna memastikan tidak ada ekstensi yang masuk dalam daftar tersebut.

Jika ditemukan ekstensi yang terkait, pengguna disarankan segera menghapusnya. Setelah itu, konfigurasi proxy pada Chrome juga perlu diperiksa untuk memastikan browser telah kembali menggunakan pengaturan jaringan yang semestinya.

Kasus ini menunjukkan bahwa keberadaan sebuah ekstensi di Chrome Web Store tidak selalu menjadi jaminan bahwa layanan tersebut aman atau benar-benar berasal dari merek yang diklaim. Pengguna sebaiknya memperhatikan identitas publisher, jumlah pengguna, reputasi pengembang, izin yang diminta, serta perubahan perilaku ekstensi setelah instalasi, terutama untuk ekstensi yang memiliki kemampuan mengubah konfigurasi jaringan.

Sumber: Socket