Im Zentrum der Untersuchung von Socket steht eine große Gruppe kostenloser Chrome-Erweiterungen, die als VPN- oder Proxy-Dienste auftraten. Laut Kush Pandya routen die Add-ons die komplette Browsersitzung der Nutzer über SOCKS5-Proxys, die von einem einzelnen Anbieter betrieben werden. Von 522 Erweiterungen in dem untersuchten Hauptkorpus hätten 520 den Browser-Verkehr über dieselbe SOCKS5-Infrastruktur geleitet.
Technisch geschieht das laut Bericht, indem die Erweiterungen „chrome.proxy.settings“ auf einen festen SOCKS5-Server an Port 1082 setzen. Dadurch befinde sich der Bedrohungsakteur in einer Gegner-in-der-Mitte-Position und könne Browser-Ziele, Quell-IP-Adressen, TLS-SNI-Werte sowie Anfragetexte mitlesen, die unverschlüsselt über HTTP übertragen werden. Jede Erweiterung, die einen Proxy konfiguriert, habe zudem eine Umgehungsliste enthalten, die ausschließlich Loopback-Adressen wie localhost oder 127.0.0.1 umfasst. Damit werde jede andere Browser-Anfrage nach dem Verbindungsaufbau mit dem angeblichen VPN-Dienst über den SOCKS5-Relay an Port 1082 geleitet.
Socket zufolge wurden die 737 Erweiterungen über mindestens 40 Entwicklerkonten verteilt und erreichten zusammen 75.486 Installationen. 274 der identifizierten Add-ons imitierten demnach 66 etablierte VPN- und Datenschutzmarken. Genannt werden Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear, Cloudflares 1.1.1.1 und Googles Outline.
221 Browser-Erweiterungen wurden inzwischen aus dem Chrome Web Store entfernt, die übrigen 516 waren laut Bericht noch aktiv. Dem Bedrohungsakteur wird ein Abo-VPN-Geschäft in Russland zugeschrieben. Socket stützt das auf eine zwölfstellige Steuernummer sowie darauf, dass einige Pakete ihren Windows-Build-Pfad preisgeben: „C:\Users\ollob\OneDrive\Документы\1.myxa-work\08.06.26<domain><product><product>-release.zip“.
Pandya betont, dass sich die Grundfunktion zunächst nicht von einem legitimen VPN- oder Proxy-Dienst unterscheide. Entscheidend sei hier der Versuch, sich als etablierte Marken auszugeben, statt das Angebot unter eigenem Namen zu betreiben. Als weitere Warnzeichen nennt er die nicht offengelegte Proxy-Konfiguration, nicht existierende Premium-Server, falsche Angaben gegenüber den Prüfern des Stores sowie einen Austausch des Codes nach der Freigabe. „Für jeden betroffenen Nutzer gilt: Solange die Erweiterung verbunden ist, läuft jede Anfrage über einen Server, den der Bedrohungsakteur kontrolliert“, erklärte Pandya. Ob die Proxy-Server dem Akteur selbst gehören oder nur Kapazitäten eines übergeordneten Anbieters weiterverkauft werden, lasse sich allein aus dem Erweiterungscode nicht klären.
Parallel dazu verweist Netskope Threat Labs auf die Rückkehr der Google-Chrome-Erweiterung „AI Sidebar with Deepseek, ChatGPT, Claude, and more.“ Monate nach ihrer Entfernung wegen sogenannter Prompt-Poaching-Taktiken. Die Abfolge aus zunächst sauberem und später vergiftetem Update habe sich über die Versionen 1.7.2.0 und 1.7.3.0 abgespielt und sei am 31. Juli 2026 über Googles CRX-Auslieferungsnetz verteilt worden. Laut Netskope bestand das Monetarisierungsschema aus einer „chirurgischen“ Ergänzung von 21 Zeilen Code rund um Update- und Deinstallationsereignisse der Erweiterung.
Das Cybersicherheitsunternehmen erklärte, die Erweiterung habe zunächst ein harmloses Update veröffentlicht, den Code zum Datendiebstahl entfernt und ihr Fehlverhalten eingeräumt. Zwei Wochen später sei dann erneut ein problematisches Update gefolgt. Zwar enthalte die Erweiterung keinen Code mehr zum Abfluss von Konversationen, stattdessen aber eine Monetarisierungsfunktion, die bei jedem Update und jeder Deinstallation einen Affiliate-Link in einem Browser-Tab im Vordergrund öffne. Zusätzlich unterdrücke sie die Umleitung von DeepSeek-Nutzern zu ChatGPT.