Một bộ sưu tập khổng lồ gồm 737 tiện ích VPN và proxy miễn phí đã bị phát hiện chủ yếu nhắm mục tiêu vào người dùng nói tiếng Nga đang tìm cách truy cập các dịch vụ bị chặn, với mục đích chặn lưu lượng trình duyệt và điều hướng chúng qua một hạ tầng proxy.
Các tiện ích này, được đăng tải trên ít nhất 40 tài khoản nhà phát triển Chrome Web Store, đã thu hút tổng cộng 75.486 lượt cài đặt. Trong số đó, 274 tiện ích đã được phát hiện giả mạo 66 thương hiệu VPN và quyền riêng tư uy tín, bao gồm Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear, Cloudflare 1.1.1.1 và Google Outline, theo Socket.
"Các tiện ích vượt rào cản kiểm duyệt này điều hướng toàn bộ phiên duyệt web của người dùng qua các SOCKS5 proxy được vận hành bởi một nhà cung cấp duy nhất," nhà nghiên cứu bảo mật Kush Pandya cho biết. "520 trong số 522 tiện ích trong kho dữ liệu mẫu đã điều hướng lưu lượng trình duyệt qua cùng một hạ tầng SOCKS5."
Đa số các tiện ích này bị phát hiện điều hướng toàn bộ phiên duyệt web của người dùng bằng cách đặt "chrome.proxy.settings" tới một máy chủ SOCKS5 cố định tại port 1082. Điều này đưa kẻ tấn công vào vị trí adversary-in-the-middle (AitM) để theo dõi các điểm đến của trình duyệt, địa chỉ IP nguồn, giá trị TLS SNI và bất kỳ nội dung yêu cầu nào được gửi qua giao thức HTTP thông thường.
Mỗi tiện ích cấu hình proxy cũng đi kèm với một danh sách ngoại lệ (bypass list) chỉ bao gồm các địa chỉ loopback (ví dụ: localhost hoặc 127.0.0.1), có nghĩa là mọi yêu cầu trình duyệt khác đều được chuyển qua trung gian SOCKS5 trên port 1082 ngay sau khi người dùng kết nối với dịch vụ VPN giả định.
Đã có tới 221 tiện ích bổ sung trình duyệt bị xóa khỏi Chrome Web Store, trong khi 516 tiện ích còn lại vẫn được liệt kê là đang hoạt động. Kẻ tấn công được cho là đang vận hành một doanh nghiệp VPN trả phí tại Nga, dựa trên mã số thuế 12 chữ số và thực tế là một số tiện ích đã để lộ đường dẫn build trên hệ điều hành Windows ("C:\Users\ollob\OneDrive\Документы\1.myxa-work\08.06.26\<domain>\<product>\<product>-release.zip").
Về lý thuyết, các tính năng này không khác gì một dịch vụ VPN hoặc proxy hợp pháp. Điểm đặc trưng của hoạt động này là nỗ lực giả mạo các thương hiệu đã có uy tín thay vì cung cấp dưới tên riêng của mình. Một số dấu hiệu cảnh báo khác bao gồm:
- Quảng cáo các gói trả phí (hoặc các vị trí máy chủ cao cấp) không hề tồn tại.
- Né tránh danh sách chặn DNS-over-HTTPS.
- Mọi nỗ lực kết nối đều thất bại trong khi vẫn hiển thị giao diện giả mạo hoàn chỉnh, bao gồm cả hiệu ứng kết nối và chỉ báo trạng thái.
- Kèm theo một tài liệu hướng dẫn nội bộ có tên "Промт для сотрудников" (dịch là "Gợi ý cho nhân viên"), yêu cầu họ tránh đưa tên miền trực tiếp vào "chrome.proxy.settings" (thay vào đó chỉ cung cấp IP đã phân giải) và hạn chế sử dụng tên miền từ tiện ích khác mà không có hướng dẫn riêng.
- Sự hiện diện của các đoạn mã bình luận cho thấy nỗ lực cố ý nhằm trốn tránh các chính sách của Chrome Web Store.
- Thêm một lớp cấu hình từ xa mới sau khi tiện ích được phê duyệt.
- Nỗ lực đánh lừa quá trình kiểm duyệt của Chrome Web Store bằng cách gửi các lý do giống hệt nhau, như "Không có dữ liệu nào được truyền đến máy chủ bên ngoài" hoặc "Không theo dõi hoặc ghi nhật ký người dùng".
"Với mỗi người dùng bị ảnh hưởng, khi tiện ích được kết nối, mọi yêu cầu đều đi qua máy chủ mà kẻ tấn công kiểm soát," Pandya nói. "Việc kẻ tấn công sở hữu các máy chủ proxy đó hay mua lại dung lượng từ một nhà cung cấp thượng nguồn là điều không thể xác định từ mã nguồn của tiện ích. Nếu họ bán lại, một bên thứ ba khác cũng sẽ ở vị trí tương tự."
"Những gì đã được xác định từ các gói phần mềm và hạ tầng công cộng là hành vi giả mạo, cấu hình proxy không được tiết lộ, các máy chủ cao cấp không tồn tại, các tuyên bố sai sự thật gửi cho người kiểm duyệt cửa hàng và việc thay thế mã nguồn sau khi được phê duyệt."
Tiện ích Chrome đã bị xóa nay tái xuất với sơ đồ kiếm tiền mới
Diễn biến này xảy ra khi Netskope Threat Labs nhấn mạnh sự trở lại của một tiện ích Google Chrome có tên "AI Sidebar with Deepseek, ChatGPT, Claude, and more" vài tháng sau khi nó bị xóa vì tham gia vào các chiến thuật Prompt Poaching.
Trình tự cập nhật "sạch rồi lại nhiễm độc", diễn ra qua các phiên bản 1.7.2.0 và 1.7.3.0, được thực hiện thông qua mạng phân phối nội dung CRX của Google vào ngày 31 tháng 7 năm 2026, tung ra một kế hoạch kiếm tiền – một phần bổ sung 21 dòng mã "phẫu thuật" – được xây dựng xung quanh các sự kiện cập nhật và gỡ cài đặt tiện ích.
"Tiện ích này đã phát hành một bản cập nhật lành tính loại bỏ mã đánh cắp dữ liệu và thừa nhận hành vi sai trái của mình. Sau 2 tuần, nó lại 'lật kèo' bằng một bản cập nhật mới," công ty an ninh mạng cho biết.
"Mặc dù không còn chứa mã lọc dữ liệu hội thoại, nhưng hiện tại nó chứa một tệp thực thi kiếm tiền sẽ mở một liên kết tiếp thị liên kết (affiliate link) trong tab trình duyệt mỗi khi tiện ích cập nhật hoặc bị gỡ cài đặt. Ngoài ra, nó còn ngăn chặn việc điều hướng người dùng DeepSeek sang ChatGPT."
