Más de 700 extensiones VPN y proxy para Chrome interceptan tráfico de usuarios rusoparlantes
Introducción
En las últimas semanas, se ha destapado un incidente de gran escala que afecta de forma directa a la privacidad y seguridad de usuarios que buscan eludir la censura en internet. Un grupo de al menos 737 extensiones gratuitas de VPN y proxy distribuidas a través de la Chrome Web Store ha sido identificado como responsable de interceptar el tráfico de navegador de miles de usuarios, en su mayoría rusoparlantes. El objetivo principal de estas extensiones es canalizar la navegación a través de una infraestructura proxy controlada por los atacantes, con evidentes riesgos para la confidencialidad y la integridad de la información transmitida.
Contexto del Incidente
Ante el endurecimiento de las restricciones de acceso a ciertos servicios en línea en países como Rusia, la demanda de herramientas para eludir bloqueos, como VPN y proxies, se ha disparado. Los cibercriminales han detectado esta tendencia y han explotado la situación publicando cientos de extensiones maliciosas en la Chrome Web Store. Al menos 40 cuentas de desarrollador han servido de vehículo para distribuir estos complementos, logrando sumar aproximadamente 75.500 instalaciones antes de ser detectados.
Entre las extensiones identificadas, 274 suplantaban la identidad de 66 servicios legítimos, adoptando nombres, logotipos e interfaces similares a las de aplicaciones reconocidas, con el fin de engañar a los usuarios y aumentar el alcance de la campaña.
Detalles Técnicos
La campaña hace uso de técnicas avanzadas de ingeniería social y de suplantación. Los complementos, una vez instalados, solicitan permisos excesivos, incluyendo la capacidad de leer y modificar todo el tráfico web del usuario (“read and change all your data on the websites you visit”). Esto les permite interceptar credenciales, información personal y cualquier dato transmitido a través de conexiones aparentemente seguras.
No se ha asignado aún un CVE específico a la campaña, ya que el vector de ataque principal es la ingeniería social combinada con el abuso de la plataforma de extensiones de Chrome. Sin embargo, las TTP (Tactics, Techniques and Procedures) observadas pueden alinearse con los siguientes identificadores de MITRE ATT&CK:
– T1176: Browser Extensions
– T1557: Adversary-in-the-Middle
– T1086: PowerShell (en caso de que alguna extensión descargue scripts adicionales)
– T1204.002: Malicious Browser Extensions
La infraestructura de comando y control (C2) se apoya en servidores proxy que canalizan el tráfico interceptado. Los IoCs (Indicators of Compromise) identificados incluyen dominios asociados a los proxies maliciosos y los hashes de las extensiones afectadas. No se descarta el uso de frameworks de automatización para la distribución masiva, aunque no se ha detectado integración directa con herramientas como Metasploit o Cobalt Strike en la fase actual.
Impacto y Riesgos
El impacto de este incidente es considerable, especialmente para los usuarios que residen en países con fuertes restricciones de acceso a internet. Alrededor del 90% de las instalaciones se concentran en usuarios rusoparlantes, muchos de los cuales buscan proteger su privacidad. Paradójicamente, estas extensiones comprometen precisamente ese objetivo, permitiendo el robo de credenciales, interceptación de sesiones, acceso a tokens de autenticación y, potencialmente, la inyección de scripts maliciosos para ataques adicionales (cross-site scripting, redireccionamientos o descargas de malware).
A nivel empresarial, los riesgos se extienden a la posible exfiltración de información confidencial si los empleados utilizan estas extensiones en dispositivos corporativos. Además, la suplantación de servicios legítimos puede provocar daño reputacional y pérdida de confianza en soluciones de privacidad auténticas.
Medidas de Mitigación y Recomendaciones
Se recomienda a los responsables de seguridad y administradores de sistemas:
– Auditar la lista de extensiones instaladas en los navegadores corporativos y personales.
– Bloquear la instalación de extensiones no autorizadas mediante políticas de grupo (GPO) o herramientas de gestión de endpoints.
– Actualizar los navegadores a la última versión y activar el modo de tienda privada, limitando las extensiones a un repositorio de confianza.
– Informar y concienciar a los usuarios sobre los riesgos de instalar extensiones de dudosa procedencia.
– Monitorizar el tráfico de red en busca de conexiones hacia proxies no autorizados y revisar logs de autenticación sospechosos.
Opinión de Expertos
Expertos en ciberseguridad como Eugene Kaspersky han advertido reiteradamente del auge de campañas maliciosas que explotan la confianza en extensiones de navegador, una tendencia al alza desde la pandemia. La dificultad para auditar el código de estos complementos y la laxitud de los procesos de revisión en plataformas como la Chrome Web Store contribuyen a que estas amenazas persistan. Se subraya la necesidad de aplicar una estrategia “zero trust” también en el ámbito del navegador y de avanzar hacia modelos de validación más estrictos.
Implicaciones para Empresas y Usuarios
Desde el punto de vista legal, incidentes de este tipo pueden acarrear infracciones graves del GDPR y, en el contexto europeo, de la nueva directiva NIS2, que exige medidas proactivas de protección y monitorización. Las empresas que permitan el uso de extensiones no verificadas podrían enfrentarse a sanciones económicas y a daños reputacionales significativos.
Para los usuarios, el incidente pone de relieve la importancia de verificar la autenticidad de las extensiones instaladas, revisar los permisos solicitados y optar siempre por soluciones avaladas por la comunidad de seguridad.
Conclusiones
La proliferación de extensiones VPN y proxy maliciosas dirigidas a usuarios rusoparlantes es un ejemplo más del aprovechamiento de tendencias sociales por parte de actores maliciosos. La falta de controles efectivos en los repositorios de extensiones, combinada con la urgencia de los usuarios por eludir la censura, crea el caldo de cultivo perfecto para campañas de interceptación masiva. Es esencial reforzar la concienciación, implementar controles técnicos y exigir mayor responsabilidad a los proveedores de plataformas para mitigar riesgos similares en el futuro.
(Fuente: feeds.feedburner.com)