یک خوشه هماهنگ شامل ۳۱ افزونه مرورگر کروم (Chrome Extensions) به زبان روسی شناسایی شده است که خود را به عنوان ابزارهای کاربردی VPN معرفی می‌کنند، اما در واقع ترافیک مرورگر را از طریق یک زیرساخت پروکسی کنترل‌شده هدایت می‌کنند.
جزئیات عملیات و هدف
این کمپین که توسط Risky Plugins افشا شده، تا زمان مستندسازی فعال بوده و حدود ۳۵۶,۰۰۰ بار نصب شده است. این حجم از نصب، اثرگذاری گسترده‌ای را برای عامل تهدید (Threat Actor) در زمینه مسیریابی ترافیک ایجاد کرده است. این افزونه‌ها کاربرانی را هدف قرار می‌دهند که به دنبال دسترسی به سرویس‌های مسدود شده مانند YouTube، Telegram، Instagram، ChatGPT، Claude، Netflix، Gemini، Discord، Spotify و LinkedIn هستند.
تحلیل فنی مکانیسم حمله
بررسی‌ها نشان می‌دهد که هر یک از این افزونه‌ها درخواست دسترسی به مجوزهای قدرتمند proxy در کروم می‌کنند، یک هندلر احراز هویت webRequest ثبت کرده و دسترسی به تمام URLها (Host Access) را مطالبه می‌کنند.
- استفاده از PAC Script: پس از نصب، افزونه یک اسکریپت پیکربندی خودکار پروکسی یا PAC (Proxy Auto-Configuration) ایجاد می‌کند. این اسکریپت تعیین می‌کند که آیا یک URL باید مستقیماً متصل شود یا از طریق یک پروکسی خاص عبور کند.
- پیکربندی پویا: لیست پروکسی‌های هدف در داخل بسته افزونه ثابت نیست، بلکه از زیرساخت‌های خارجی دانلود می‌شود. این امر به مهاجم اجازه می‌دهد بدون نیاز به به‌روزرسانی افزونه، وب‌سایت‌های هدف و سرورهای دریافت‌کننده ترافیک را تغییر دهد.
- منابع پیکربندی: محققان منابع پیکربندی متعددی را در GitHub Pages، Blogspot، یک سند گوگل و یک کانال تلگرام شناسایی کردند.
پنهان‌سازی و خطرات امنیتی
لیست سرورها با استفاده از تکنیک Caesar shift روی Base64 پنهان شده بود؛ یک روش Obfuscation ساده که اگرچه مانع بررسی‌های سریع می‌شود، اما حفاظت رمزنگاری معناداری ارائه نمی‌دهد. داده‌های رمزگشایی شده شامل اعتبارنامه‌های پروکسی مشترک با تاریخ انقضای ماهانه بود.
بسیاری از این افزونه‌ها ترافیک مربوط به سرویس‌های تبلیغاتی خود را پروکسی می‌کنند، اما نسخه‌ای به نام “Total VPN” تمام ترافیک مرورگر را مسیریابی می‌کند که سطح ریسک را به شدت افزایش می‌دهد. در این حالت، اپراتورهای پروکسی می‌توانند متادیتای اتصال و مقصدهای کاربر را مشاهده کنند و محتوای رمزنگاری نشده HTTP را بازرسی یا تغییر دهند.
توصیه‌های امنیتی و مقابله
برای کاربران:
۱. هرگونه افزونه مشکوک در لیست را فوراً حذف کنید.
۲. مرورگر کروم را ری‌استارت کرده و تنظیمات پروکسی مرورگر و سیستم‌عامل را بررسی کنید.
۳. اعتبارنامه‌های حساب‌های حساس را که در بازه زمانی آلودگی استفاده شده‌اند، تغییر دهید و نشست‌های (Sessions) فعال را لغو کنید.
برای تیم‌های دفاعی (SOC):
۱. شناسه‌های (IDs) افزونه‌های منتشر شده، دامنه‌های پیکربندی و میزبان‌های اشتراک را مسدود کنید.
۲. هش‌های SHA-256 آرشیو شده را با نقاط انتهایی (Endpoints) مدیریت شده تطبیق دهید.
۳. اتصالات خروجی به دامنه‌هایی مانند s-extension.github.io، dtxtension.blogspot.com و api.hhos.ru را بررسی کنید.
