Hunderte irreführende VPN-Erweiterungen im Chrome Store

Die Dimension des Betrugs im Chrome Web Store

Im digitalen Raum des Chrome Web Stores hat sich ein besorgniserregendes Sicherheitsproblem manifestiert, das weit über vereinzelte Vorfälle hinausgeht. Wie das IT-Sicherheitsunternehmen Socks in einer aktuellen Analyse darlegt, wurden insgesamt 737 Browsererweiterungen identifiziert, die sich als VPN-Dienste tarnen, jedoch in Wahrheit betrügerische Absichten verfolgen. Diese Erweiterungen, die auf rund 40 verschiedene Herausgeber verteilt sind, haben nach den offiziellen Zählungen des Chrome Web Stores bereits etwa 75.000 Installationen erreicht. Die Gefahr ist akut, da Nutzer, die auf der Suche nach einer Möglichkeit zur Umgehung von Websperren sind, gezielt in die Irre geführt werden. Während Google nach der Bekanntgabe der Ergebnisse 221 dieser schädlichen Erweiterungen aus dem Angebot entfernte, blieb der Großteil – konkret 516 Plugins – auch noch Tage nach der Entdeckung aktiv und für Nutzer weltweit verfügbar. Die Sicherheitslage ist somit als kritisch einzustufen, da die betroffenen Anwender ihre sensiblen Daten über eine Infrastruktur leiten, die keine Sicherheit bietet, sondern diese aktiv untergräbt.

Details zu den betrügerischen Erweiterungen

Die Analyse des Sicherheitsunternehmens Socks offenbart eine bemerkenswerte technische Homogenität hinter den 737 identifizierten Erweiterungen. Von den 525 Plugins, die einer tiefergehenden Untersuchung unterzogen werden konnten, deuten alle Anzeichen darauf hin, dass sie aus einer einzigen Quelle stammen. Ein zentrales Indiz hierfür ist die gemeinsame Nutzung eines Analytics-Kontos bei Yandex Metrika. Zudem konnten die Experten in mehr als der Hälfte aller untersuchten Fälle eine identische russische Steuernummer eines Einzelunternehmers mit den verbundenen Domains verknüpfen. Über 90 Prozent der Erweiterungen sind explizit auf russischsprachige Nutzer ausgerichtet. Um Vertrauen zu erwecken, missbrauchen die Betreiber die Identitäten bekannter und seriöser Marken wie Proton, NordVPN, Surfshark, Adguard, Windscribe sowie Cloudflare und Google. Insgesamt sind 66 verschiedene Marken von diesem Identitätsdiebstahl betroffen, darunter auch spezialisierte Dienste wie AmneziaVPN oder AntiZapret, die für ihre Wirksamkeit bei der Umgehung von Websperren in Russland bekannt sind. Einige Einträge nutzen sogar erfundene Empfehlungen durch namentlich genannte russische Journalisten, um ihre Seriosität vorzutäuschen.

Der Hintergrund der Sicherheitsbedrohung

Die aktuelle Entdeckung durch Socks baut auf einer früheren Beobachtung von Palo Alto Networks auf, die bereits Anfang Juni über 18 betrügerische Erweiterungen im Chrome Web Store berichtete. Die damaligen Erkenntnisse stellten jedoch lediglich die Spitze eines deutlich größeren Eisbergs dar. Trotz der Warnungen vor über zwei Monaten sind 15 der damals identifizierten Herausgeber weiterhin aktiv und halten noch immer rund 250 Plugins im Chrome Web Store bereit. Diese Plugins nutzen teilweise dieselben IP-Adressen wie die neu entdeckten Erweiterungen, was auf eine fortlaufende und organisierte Kampagne hindeutet. Die Kritik an Google wiegt schwer: Das Unternehmen wird beschuldigt, die Herausgeberkonten trotz der vorliegenden Beweise nicht zu sperren und den Betreibern zu erlauben, ihre Aktivitäten ungehindert fortzusetzen. Die Verzögerung bei der Bereinigung des Stores wirft Fragen zur Wirksamkeit der internen Sicherheitskontrollen bei Google auf, da selbst nach expliziten Hinweisen durch Sicherheitsexperten viele der als schädlich eingestuften Erweiterungen weiterhin als vertrauenswürdige Software gelistet bleiben.

Die Akteure und die betroffenen Parteien

Im Zentrum dieser Affäre steht das Sicherheitsunternehmen Socks, das durch seine umfangreiche Analyse die Dimension des Betrugs aufdeckte und die Öffentlichkeit informierte. Auf der Gegenseite stehen die anonymen Betreiber hinter den 40 Herausgeberkonten, die hinter den 737 Erweiterungen stecken. Diese Akteure setzen auf eine Infrastruktur, die russische Steuernummern verwendet und sich in ihren Datenschutzbestimmungen explizit auf russische Vorschriften beruft. Betroffen sind in erster Linie die Nutzer, die auf der Suche nach einem VPN-Schutz sind, um beispielsweise staatliche Websperren zu umgehen. Google als Betreiber des Chrome Web Stores nimmt hierbei eine zentrale Rolle ein, da das Unternehmen die Plattform zur Verfügung stellt und die Verantwortung für die Prüfung der angebotenen Software trägt. Die Kommunikation zwischen den Sicherheitsforschern und dem Datenkonzern scheint jedoch lückenhaft zu sein, da trotz der Meldungen über die Machenschaften der Herausgeber keine konsequente Löschung aller betrügerischen Konten und Plugins erfolgte, was die betroffenen Nutzer weiterhin einem hohen Risiko aussetzt.

Einordnung der technischen Risiken

Die technische Funktionsweise dieser Erweiterungen ist ein Paradebeispiel für den Missbrauch von Browser-Berechtigungen. Die Plugins fordern lediglich die Berechtigung für „proxy“ an, leiten dann jedoch den gesamten Browserverkehr – mit Ausnahme lokaler Loopbacks – über eine SOCKS5-Infrastruktur um. Der entscheidende Punkt ist hierbei das Fehlen jeglicher Verschlüsselung. Während ein legitimes VPN den Datenverkehr schützt, agieren diese Erweiterungen als offene Tunnel, durch die alle unverschlüsselten Daten im Klartext fließen. Einzuordnen ist das so: Die Betreiber der SOCKS5-Server haben vollen Zugriff auf die aufgerufenen Web-Adressen, die Server Name Indication (SNI) bei TLS-Verbindungen sowie sämtliche IP-Adressen der Nutzer. Auch Passwörter, die auf unverschlüsselten HTTP-Seiten eingegeben werden, können problemlos abgegriffen werden. Die Behauptung der Betreiber, keine Daten zu loggen, ist laut den Sicherheitsforschern aufgrund der rechtlichen Rahmenbedingungen, denen die Betreiber unterliegen, als unglaubwürdig einzustufen. Es ist davon auszugehen, dass diese Infrastruktur gezielt zur Überwachung und zum Datendiebstahl eingesetzt wird.

Die Rolle der Premium-Abonnements

Ein weiterer Aspekt des Betrugs ist das Geschäftsmodell der Erweiterungen. Alle analysierten Plugins bieten „Premium“-Abonnements an, die angeblich Zugriff auf 200 Server in Ländern wie Australien, Japan, Kanada, Singapur und der Türkei ermöglichen sollen. Die Bezahlung erfolgt dabei über den Messenger Telegram. Den Untersuchungen von Socks zufolge existiert jedoch keiner dieser 200 Server tatsächlich; sie besitzen keinen A-Eintrag im DNS. Wer für diese Dienste bezahlt, investiert also in ein völlig wertloses Produkt. Nur eine einzige der untersuchten Erweiterungen bietet ein Abonnement an, bei dem der Datenverkehr über VLESS-REALITY auf Port 443 läuft, was theoretisch eine Deep Packet Inspection verhindern könnte. Dies ist jedoch die absolute Ausnahme. Der Großteil der Nutzer wird nicht nur durch den Verlust der Privatsphäre geschädigt, sondern auch finanziell betrogen, da sie für eine Leistung zahlen, die technisch gar nicht erbracht wird.

Offene Fragen zur Google-Strategie

Obwohl die Faktenlage durch die Analysen von Socks klar belegt ist, bleiben einige Fragen im Raum stehen, die der Quelltext nicht beantwortet. Es ist unklar, warum Google trotz der expliziten Hinweise durch Palo Alto Networks und Socks nicht in der Lage oder gewillt war, die betroffenen Herausgeberkonten vollständig zu sperren. Die Frage, wann genau Google von den Machenschaften in Kenntnis gesetzt wurde und welche internen Prozesse eine so langsame Reaktion rechtfertigen, bleibt unbeantwortet. Ebenso bleibt offen, ob Google plant, die betroffenen Nutzer aktiv über die Gefährdung zu informieren oder ob die Verantwortung für die Bereinigung des eigenen Browsers weiterhin allein beim Anwender liegt. Auch die Frage nach der rechtlichen Verfolgung der Betreiber wird nicht adressiert, da die Identität der Hintermänner hinter den russischen Steuernummern und den anonymen Herausgeberkonten im Dunkeln bleibt. Die Lücke zwischen der Meldung durch Sicherheitsforscher und der tatsächlichen Entfernung der schädlichen Software bleibt ein kritisches Versäumnis in der Sicherheitsarchitektur des Chrome Web Stores.

Empfehlungen für betroffene Nutzer

Für Nutzer, die eine der identifizierten Erweiterungen installiert haben könnten, ist schnelles Handeln erforderlich. Die Sicherheitsforscher von Socks haben eine Liste der Chrome-Web-Store-IDs der 737 Erweiterungen sowie eine Übersicht der genutzten IP-Adressen und Domainnamen veröffentlicht. Anwender sollten in den Einstellungen ihres Browsers unter dem Pfad chrome://settings nach dem Begriff „proxy“ suchen, um zu prüfen, ob eine derartige Erweiterung aktiv ist. Wer eine der betroffenen Erweiterungen installiert hatte, muss davon ausgehen, dass der gesamte Browserverlauf in die Hände der Betreiber gelangt ist. Es wird dringend empfohlen, sämtliche Passwörter zu ändern, die auf unverschlüsselten HTTP-Seiten eingegeben wurden. Da die Betreiber Zugriff auf DNS-Anfragen haben – entweder durch fix eingestellte IP-Adressen oder durch DNS-over-HTTPS (DoH) –, ist die Privatsphäre der betroffenen Nutzer massiv gefährdet. Die Empfehlung lautet, die Erweiterungen umgehend zu entfernen und die Sicherheitsvorkehrungen für alle betroffenen Konten durch eine Passwortänderung und gegebenenfalls die Aktivierung einer Zwei-Faktor-Authentifizierung zu erhöhen.