737 ücretsiz VPN ve proxy eklentisi, Rusça konuşan kullanıcıları hedef alıyor ve tarayıcı trafiğini bir proxy altyapısı üzerinden yönlendiriyor. Bu eklentiler, 75.486 kez indirildi ve 274'ü meşru VPN ve gizlilik markalarını taklit ediyor.
Eklentiler, en az 40 farklı Chrome Web Store geliştirici hesabında yayınlandı. Güvenlik araştırmacısı Kush Pandya, eklentilerin tüm tarayıcı oturumlarını SOCKS5 proxy'leri üzerinden yönlendirdiğini söyledi. 522 eklentiden 520'si aynı SOCKS5 altyapısını kullanıyor.
Eklentilerin büyük çoğunluğu, tarayıcı trafiğini sabit bir SOCKS5 sunucusuna yönlendiriyor ve böylece tehdit aktörünü bir orta adam (AitM) konumuna getiriyor. Bu, tehdit aktörünün tarayıcı hedeflerini, kaynak IP adreslerini, TLS SNI değerlerini ve düz HTTP üzerinden gönderilen herhangi bir istek gövdesini gözlemesine olanak tanıyor.
Tehdit aktörünün bir abonelik VPN işini işlettiği ve bazı eklentilerin Windows derleme yolunu sızdırduğu düşünülüyor. 221 eklenti Chrome Web Store'dan kaldırıldı, ancak kalan 516 eklenti hala aktif olarak listeleniyor.
