Wer eine VPN-Erweiterung installiert, möchte in der Regel seine Privatsphäre verbessern. Im Chrome Web Store ist nun allerdings eine umfangreiche Kampagne aufgefallen, bei der genau dieses Vertrauen ausgenutzt wurde.
Sicherheitsforscher von Socket haben insgesamt 737 VPN- und Proxy-Erweiterungen identifiziert, die zu einer zusammenhängenden Infrastruktur gehören. Gemeinsam kamen die Erweiterungen auf mehr als 75.000 Installationen. Besonders problematisch ist, dass ein großer Teil des gesamten Browserverkehrs der Nutzer über SOCKS5-Proxyserver eines einzigen Anbieters umgeleitet wurde.
274 Erweiterungen imitierten bekannte VPN-Anbieter
Die Kampagne setzte stark auf bekannte Namen. Laut den Forschern imitierten 274 der 737 Erweiterungen insgesamt 66 etablierte VPN- und Datenschutzmarken.
Darunter befanden sich unter anderem Namen wie:
- Proton VPN
- NordVPN
- Surfshark
- ExpressVPN
- CyberGhost
- Windscribe
- TunnelBear
- AdGuard VPN
- Cloudflare 1.1.1.1
- Google Outline
Allein die Erweiterungen, die bekannte Marken imitierten, wurden laut Socket mehr als 38.000 Mal installiert. Eine öffentliche Verbindung oder Genehmigung durch die jeweiligen Originalanbieter konnte Socket nicht feststellen.
Offensichtlich richtete sich der Großteil der Kampagne an russischsprachige Nutzer. Dabei wurde unter anderem damit geworben, dass gesperrte Webseiten und Dienste wieder erreichbar wären.
Der komplette Chrome-Datenverkehr landete beim Proxyanbieter
Technisch gesehen nutzen die Erweiterungen eine durchaus legitime Chrome-Funktion: die Proxy-Schnittstelle des Browsers.
Genau diese Berechtigung macht VPN- und Proxy-Erweiterungen so mächtig. Eine Erweiterung, die auf die Proxy-Einstellungen zugreifen kann, ist in der Lage, den Datenverkehr des Browsers über einen vom Entwickler bestimmten Server zu leiten.
Socket konnte den Programmcode von 522 Erweiterungen aus dem ursprünglichen Datensatz genauer untersuchen. 520 davon konfigurierten Chrome so, dass der gesamte Browserverkehr über dieselbe SOCKS5-Infrastruktur auf Port 1082 geleitet wurde, ohne dass es eine Beschränkung auf einzelne Webseiten oder Split-Tunneling gab.
Der Betreiber der Proxy-Infrastruktur befand sich somit technisch in einer äußerst privilegierten Position.
Er konnte unter anderem erkennen:
- welche Server und Webseiten aufgerufen wurden,
- die öffentliche IP-Adresse des Nutzers,
- Verbindungsinformationen von HTTPS-Verbindungen,
- sowie sämtliche Inhalte, die unverschlüsselt per HTTP übertragen wurden.
Das bedeutet jedoch nicht, dass automatisch sämtliche übertragenen Daten gespeichert oder ausgewertet wurden. Socket hat eigenen Angaben zufolge lediglich die Client-Seite und die dazugehörige Infrastruktur untersucht. Das Unternehmen macht ausdrücklich keine Aussage darüber, was die Betreiber der Proxyserver tatsächlich protokolliert haben.
SOCKS5 bedeutete hier keine zusätzliche Verschlüsselung
Besonders problematisch ist, dass die verwendete Proxyverbindung keinen mit einem klassischen VPN vergleichbaren verschlüsselten Tunnel bereitstellt.
Die SOCKS5-Verbindung fungierte lediglich als Weiterleitung. HTTPS-Verbindungen waren zwar weiterhin durch TLS geschützt, sofern die aufgerufene Webseite HTTPS verwendete. Der Proxyanbieter konnte jedoch erkennen, dass eine Verbindung zu einem bestimmten Ziel aufgebaut wurde.
Bei unverschlüsselten HTTP-Verbindungen wären die übertragenen Inhalte hingegen auch sichtbar gewesen.
Die Erweiterungen vermittelten teilweise dennoch den Eindruck einer vollwertigen Sicherheitslösung. Socket fand beispielsweise Varianten, die dem Nutzer nach dem Verbindungsaufbau den Status „Geschützt” anzeigten.
Teilweise wurden sogar DNS-Sperren umgangen
Die Betreiber gingen offenbar noch einen Schritt weiter.
Von den 104 untersuchten Erweiterungen nutzten 90 DNS-over-HTTPS über Dienste von Google bzw. Cloudflare, um die IP-Adressen ihrer eigenen Proxyserver aufzulösen. Im nächsten Schritt wurde nicht mehr der Domainname, sondern die ermittelte IP-Adresse direkt an Chrome übergeben.
Dadurch ließ sich unter anderem erreichen, dass keine normalen DNS-Anfragen für die verwendeten Domains auf dem System auftauchten. Dadurch konnten klassische DNS-basierte Sperrlisten teilweise umgangen werden.
Zudem konnten weitere Erweiterungen Konfigurationsinformationen nachträglich von externen Servern beziehen. Dadurch war es möglich, die verwendete Infrastruktur zu verändern, ohne dafür jedes Mal eine neue Erweiterung im Chrome Web Store veröffentlichen zu müssen.
Premium-Server existierten offenbar gar nicht
Neben dem Datenschutzproblem fanden die Forscher außerdem Hinweise auf möglichen Abonnementbetrug.
Ein kostenpflichtiges Angebot versprach unter anderem VPN-Server in:
- Japan,
- Singapur,
- Kanada,
- Australien
- und der Türkei.
Socket überprüfte dafür insgesamt 200 entsprechende Hostnamen. Keiner davon ließ sich während der Untersuchung auflösen. Die beworbenen Premium-Server waren zum Zeitpunkt der Analyse somit nicht erreichbar beziehungsweise existierten unter den angegebenen Adressen nicht.
Nutzer konnten somit für angebliche Serverstandorte bezahlen, die technisch gar nicht verfügbar waren.
Auch Bewertungen sollen manipuliert worden sein
Die Untersuchung zeigt außerdem, wie professionell die Kampagne organisiert war.
Socket fand Hinweise auf koordinierte Bewertungen sowie zahlreiche Entwicklerkonten. Insgesamt wurden die 737 Erweiterungen über mindestens 40 verschiedene Konten im Chrome Web Store veröffentlicht.
Ein weiterer Fund ist besonders interessant: In mehreren Erweiterungspaketen wurden Dokumente mit Begründungen für die Prüfung im Chrome Web Store gefunden.
Laut Socket waren neun dieser Dokumente praktisch identisch. Sie behaupteten unter anderem, dass keine persönlichen Daten gesammelt und keine Daten an externe Server übertragen würden. Das steht allerdings im deutlichen Widerspruch zur eigentlichen Funktion einer Erweiterung, die den Browserverkehr über externe Proxyserver leitet.
Funktionen wurden offenbar nach der Freigabe verändert
Noch problematischer war ein anderer Fall, in dem die Forscher zufällig eine ältere Version einer Erweiterung innerhalb des veröffentlichten Pakets entdeckten.
Dadurch ließ sich die ursprünglich geprüfte Version nachvollziehen.
Der Vergleich zeigte, dass nach der Freigabe eine zusätzliche Remote-Konfiguration eingebaut worden war. Dabei änderten sich die Berechtigungen der Erweiterung nicht. Das ist besonders schwierig für automatische Prüfmechanismen, da eine reine Kontrolle neu hinzugekommener Berechtigungen diese Änderung nicht erkannt hätte.
Socket fand kampagnenweit 49 Erweiterungen aus 18 Entwicklerkonten, die nach der Freigabe entsprechende Codeänderungen erhalten hatten.
Hunderte Erweiterungen waren weiterhin verfügbar
Google hat inzwischen einen Teil der Erweiterungen entfernt.
Zum Zeitpunkt der Socket-Untersuchung waren 221 der insgesamt 737 identifizierten Erweiterungen aus dem Chrome Web Store verschwunden. Damit waren allerdings noch 516 Erweiterungen aktiv, auf die zusammen mehr als 58.000 angezeigte Installationen entfielen.
Dies verdeutlicht eines der grundlegenden Probleme bei Browser-Erweiterungen. Wenn eine einzelne Erweiterung entfernt wird, bedeutet das nicht automatisch, dass andere Varianten desselben Entwicklers oder technisch nahezu identische Erweiterungen ebenfalls verschwinden.
Was Chrome-Nutzer jetzt prüfen sollten
Nutzer, die eine VPN- oder Proxy-Erweiterung in Chrome installiert haben, sollten deshalb kontrollieren, ob diese tatsächlich vom angegebenen Anbieter stammt.
Installierte Erweiterungen lassen sich unter
chrome://extensions
anzeigen.
Insbesondere sollte bei VPN-Erweiterungen geprüft werden, welcher Entwickler angegeben ist und ob die Erweiterung direkt von der offiziellen Website des jeweiligen VPN-Anbieters verlinkt wird.
Unbekannte oder nicht mehr benötigte VPN- und Proxy-Erweiterungen sollten entfernt werden.
Socket empfiehlt außerdem, anschließend die Proxy-Einstellungen des Systems bzw. Browsers zu kontrollieren. Wenn während der Verwendung einer verdächtigen Erweiterung Zugangsdaten auf einer unverschlüsselten HTTP-Seite eingegeben wurden, sollten diese Passwörter vorsichtshalber geändert werden.
Chrome-Erweiterungen bleiben ein attraktives Angriffsziel
Der Vorfall zeigt erneut, wie viel Vertrauen Browser-Erweiterungen erhalten. Das ist besonders kritisch bei VPN-Erweiterungen. Die Berechtigung für die Proxy-Konfiguration wirkt zwar zunächst harmlos, ermöglicht technisch jedoch die Umleitung des gesamten Browser-Datenverkehrs.
Eine Aufnahme in den Chrome Web Store sollte deshalb nicht automatisch als Sicherheitsnachweis verstanden werden. Wer eine VPN-Erweiterung installieren möchte, sollte sie am besten über die offizielle Website des jeweiligen Anbieters beziehen und überprüfen, ob der dort verlinkte Eintrag mit der Erweiterung im Chrome Web Store übereinstimmt.
Ausgerechnet Nutzer, die mit einem VPN ihre Privatsphäre verbessern oder staatliche Sperren umgehen wollten, wurden im aktuellen Fall angesprochen. Stattdessen landete ihr Browserverkehr teilweise bei einer Infrastruktur, über deren Betreiber sie kaum Informationen hatten.