Die von Socket untersuchte Kampagne setzte auf eine große Zahl täuschend echter Erweiterungen im Chrome Web Store. Die Add-ons gaben sich als bekannte VPN- und Proxy-Angebote aus, leiteten den Verkehr der Nutzer jedoch über SOCKS5-Proxys, die laut den Forschern von einem einzigen Anbieter betrieben wurden. Nach Angaben von Socket wurden dafür 40 Publisher-Konten eingesetzt, die zudem ein gemeinsames Analytics-Konto nutzten.
Unter den imitierten Diensten waren zahlreiche etablierte Marken, darunter Proton VPN, NordVPN, Surfshark, ExpressVPN und Cloudflares 1.1.1.1-DNS-Resolver. Insgesamt wurden die Erweiterungen laut Socket fast 75.000 Mal heruntergeladen, bevor ein Teil davon entfernt wurde. Die Downloads stammten den Forschern zufolge überwiegend von russischen Nutzern, die nach Möglichkeiten suchten, gesperrte Dienste zu erreichen.
Socket beschreibt die technische Tragweite der Weiterleitung klar: Wenn der gesamte Browser-Verkehr über den Relay läuft, kann der Server des Bedrohungsakteurs nach Einschätzung der Forscher „jedes Ziel, jeden TLS-SNI-Wert, die Quell-IP des Opfers und jeden Anfragetext lesen, der über einfaches HTTP gesendet wird“. Damit steht nicht nur die Frage im Raum, ob eine Erweiterung ein VPN bereitstellt, sondern auch, wer den vermittelten Datenverkehr kontrolliert.
Die Forscher identifizierten in Verbindung mit der Kampagne drei Bedrohungsverhalten. Welche Erweiterungen im Einzelnen welche Funktionen aufwiesen, konnte Socket jedoch nicht vollständig rekonstruieren. Der Grund: 212 der Add-ons waren bereits entfernt worden, als die Forscher sie sammelten, sodass sich deren Code nicht mehr analysieren ließ.
Nach Einschätzung von Socket deutet die Auswertung gefundener Zeichenfolgen darauf hin, dass die Kampagne darauf abzielte, Kunden zu einem abonnierbaren VPN-Dienst in Russland zu lenken. Zugleich betonen die Forscher, dass sich der von den Erweiterungen verwendete Mechanismus nicht grundsätzlich von dem eines legitimen Dienstes unterscheide. Verdächtig seien vielmehr mehrere von ihnen beobachtete Hinweise auf bewusste Täuschung.
Google hat nach Angaben von Socket mehr als 200 mit der Kampagne verknüpfte Erweiterungen aus dem Chrome Web Store entfernt. Dennoch seien dort weiterhin über 500 dieser Add-ons verfügbar. Socket hat die Kennungen aller der Kampagne zugeordneten Erweiterungen veröffentlicht. Nutzern empfiehlt das Unternehmen, ihre Browser auf diese Einträge zu prüfen, gefundene Erweiterungen zu entfernen und anschließend zu kontrollieren, ob die Proxy-Konfiguration von Chrome wieder im Normalzustand ist.