737 extensões de VPN para Chrome são flagradas desviando tráfego e imitando grandes marcas
Pesquisadores de segurança identificaram uma campanha em larga escala envolvendo extensões gratuitas de VPN e proxy para o Google Chrome. Ao todo, 737 complementos estavam redirecionando o tráfego de navegação dos usuários por uma infraestrutura de proxies controlada por um único operador, em vez de oferecer o serviço prometido de forma transparente.
A operação mirava, principalmente, usuários de língua russa que buscavam contornar bloqueios de acesso a serviços e sites restritos. Essas extensões se apresentavam como soluções simples e “gratuitas” de VPN, mas na prática assumiam o controle quase total da conexão do navegador.
De acordo com a investigação conduzida pela Socket, esses complementos foram publicados na Chrome Web Store por, pelo menos, 40 contas distintas de desenvolvedores, acumulando 75.486 instalações. A fragmentação em múltiplas contas ajudava a mascarar a conexão entre as extensões e a dar aparência de diversidade e legitimidade.
Falsificação de grandes marcas de VPN
Entre as 737 extensões identificadas, 274 se passavam por 66 marcas já estabelecidas no mercado de VPN e privacidade. Nomes amplamente conhecidos foram alvo de falsificação, como Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear, Cloudflare 1.1.1.1 e o próprio Google Outline.
Essas extensões utilizavam ícones, nomes e descrições que lembravam fortemente os serviços originais, induzindo o usuário a acreditar que estava instalando o aplicativo oficial. Em muitos casos, o layout da interface também reproduzia elementos visuais das marcas legítimas, reduzindo a desconfiança de quem procurava uma solução rápida para navegar de forma supostamente segura.
O uso de marcas consolidadas é um componente central da fraude: em vez de criar uma identidade própria e explicar claramente a infraestrutura usada, os operadores apostaram na confiança construída por empresas respeitadas para atrair instalações em massa.
Como o tráfego era redirecionado
A análise técnica revelou que a maior parte das extensões direcionava toda a sessão do navegador por meio de proxies SOCKS5 operados por um único provedor. Em um conjunto de 522 extensões analisadas em bloco, 520 utilizavam exatamente a mesma infraestrutura de SOCKS5, evidenciando que se tratava de uma operação coordenada.
O redirecionamento era realizado através da alteração da configuração interna do navegador, especificamente o parâmetro `chrome.proxy.settings`. As extensões passavam a apontar o Chrome para um servidor SOCKS5 fixo, configurado na porta 1082. A partir do momento em que o usuário ativava a pseudo-VPN, praticamente todo o tráfego do navegador era enviado por esse túnel.
Com esse mecanismo, a infraestrutura de proxies assumia uma posição clássica de “adversary-in-the-middle” (AitM) – ou adversário no meio da comunicação. Isso significa que os operadores tinham potencial para observar boa parte do que passava pelo navegador, ainda que não houvesse evidência pública de exploração ativa de todos esses dados.
O que podia ser visto pelo operador do proxy
Na posição de intermediário do tráfego, a infraestrutura era capaz de enxergar informações sensíveis, como:
– Endereços IP de origem das conexões.
– Destinos acessados pelo navegador.
– Valores de SNI (Server Name Indication) em conexões TLS, que revelam o domínio acessado mesmo em conexões criptografadas.
– Conteúdo completo de requisições HTTP sem criptografia.
Embora o uso de proxies seja, por si só, algo comum em serviços legítimos de VPN, o problema reside na combinação de três fatores: falsificação de identidade (imitação de marcas conhecidas), ausência de transparência sobre o operador da infraestrutura e falta de clareza sobre a coleta, retenção e uso de dados.
As extensões ainda incluíam uma lista de exceções extremamente limitada, contemplando basicamente endereços de loopback como “localhost” e “127.0.0.1”. Na prática, isso significa que todo o resto – sites, serviços, APIs e demais requisições do navegador – acabava trafegando pelo servidor SOCKS5 remoto.
Extensões removidas e ainda ativas
No momento da análise, 221 das extensões suspeitas já haviam sido removidas da Chrome Web Store. Outras 516, porém, continuavam disponíveis para instalação e funcionavam normalmente.
Esse descompasso evidencia um problema recorrente: mesmo quando campanhas maliciosas são detectadas, há um intervalo significativo até que todas as variantes sejam bloqueadas ou excluídas. Durante esse período, usuários continuam expostos, especialmente aqueles que não acompanham notícias de segurança ou não atualizam regularmente suas extensões.
Além disso, extensões já instaladas podem permanecer ativas no navegador mesmo após serem retiradas da loja, caso o usuário não as remova manualmente. Isso prolonga o risco por tempo indeterminado.
Indícios de operação comercial de VPN na Rússia
Os pesquisadores apontam que o operador da infraestrutura parece estar ligado a um serviço comercial de VPN por assinatura na Rússia. Entre os indícios técnicos encontrados nos pacotes das extensões estavam:
– Um número de identificação fiscal de 12 dígitos, padrão para entidades naquele país.
– Caminhos de compilação no Windows contendo diretórios com nomes em russo.
Esses vestígios sugerem que a mesma estrutura usada para comercializar uma VPN formal também poderia estar sendo explorada de forma opaca por meio dessas extensões gratuitas. Ainda assim, a investigação não conseguiu determinar de forma conclusiva se os proxies eram diretamente administrados pelos responsáveis ou se havia revenda de capacidade de outro provedor.
Diferença entre VPN legítima e comportamento abusivo
Encaminhar tráfego via proxy, isoladamente, não caracteriza um comportamento malicioso. Serviços legítimos de VPN, por definição, fazem justamente isso: redirecionam o tráfego do usuário por servidores intermediários, com o objetivo de privacidade, anonimato ou desbloqueio geográfico.
O que torna essa campanha problemática é o contexto:
– Uso indevido de marcas consagradas sem vínculo com as empresas originais.
– Desinformação ou silêncio sobre quem controla a infraestrutura.
– Falta de termos claros de privacidade e de registro de dados.
– Promessas enganosas de servidores “premium” ou planos pagos inexistentes.
– Tentativas deliberadas de burlar e enganar o processo de revisão da loja oficial.
Ou seja, o problema não é a tecnologia em si, mas a forma como é apresentada, a ausência de transparência e o potencial de abuso.
Sinais adicionais de fraude e manipulação
A investigação encontrou outros elementos suspeitos que reforçam o caráter enganoso dessas extensões:
– Planos pagos anunciados, mas que não correspondiam a qualquer infraestrutura real.
– “Localidades premium” oferecidas na interface, mas que simplesmente não existiam na prática.
– Uso de DNS-over-HTTPS para contornar listas de bloqueio, sem comunicar claramente ao usuário que esse mecanismo estava em uso.
– Extensões que sempre falhavam na conexão real, mas exibiam uma interface falsa com animações, barras de progresso e indicadores de status sugerindo que a VPN estava conectada e protegendo o usuário.
Em muitos casos, o usuário via uma interface aparentemente funcional, acreditava estar protegido, mas seu tráfego era apenas redirecionado para a infraestrutura opaca, sem qualquer ganho real em privacidade ou segurança.
Manual interno e tentativa de driblar políticas
Um dos achados mais reveladores foi um manual interno intitulado “Prompt para funcionários”. O documento orientava desenvolvedores a nunca inserir diretamente domínios na configuração `chrome.proxy.settings`, recomendando o uso apenas de endereços IP já resolvidos.
O manual também alertava para não reutilizar domínios que tivessem sido empregados por outras extensões, a menos que houvesse instruções específicas para isso. A mensagem implícita era clara: evitar correlações fáceis entre múltiplas extensões e o mesmo operador.
Trechos de comentários no código indicavam ainda preocupações explícitas em contornar as políticas da Chrome Web Store. Após a aprovação inicial, algumas extensões recebiam camadas adicionais de configuração remota, que permitiam alterar comportamento e rotas de tráfego sem passar novamente pelo crivo da revisão.
Durante o processo de avaliação da loja, os desenvolvedores teriam repetidamente enviado declarações assegurando que:
– nenhum dado era transmitido a servidores externos;
– não havia qualquer tipo de rastreamento;
– não eram mantidos registros de atividade dos usuários.
Essas afirmações, segundo a análise técnica, não condiziam com o comportamento real do código.
Todos os pedidos passam pelo servidor da operação
De acordo com a Socket, enquanto uma extensão afetada estiver ativa e conectada, todas as requisições do usuário são roteadas por um servidor sob controle da infraestrutura da campanha. Do ponto de vista de rede, o navegador passa a depender completamente desse intermediário.
Embora o código analisado não permita concluir se os operadores possuem fisicamente esses servidores ou apenas revendem capacidade de outro provedor de hospedagem ou VPN, o efeito prático para o usuário é o mesmo: todo o tráfego fica à mercê de um ator sobre o qual ele não tem qualquer informação confiável.
A investigação reuniu evidências de:
– falsificação sistemática de marcas;
– configuração de proxies sem aviso claro;
– servidores “premium” ou planos pagos inexistentes;
– declarações enganosas durante o processo de aprovação;
– alterações de código significativas após a aprovação inicial na loja.
Caso paralelo: extensão de IA volta com função de monetização suspeita
Em um episódio separado, pesquisadores da Netskope Threat Labs identificaram o retorno de uma extensão chamada “AI Sidebar with Deepseek, ChatGPT, Claude, and more.”. Essa extensão já havia sido removida anteriormente após ser associada a técnicas conhecidas como Prompt Poaching, voltadas ao roubo de dados de conversas com modelos de IA.
Depois de uma atualização considerada legítima, que retirou o código responsável pela exfiltração de dados, uma nova versão foi disponibilizada cerca de duas semanas depois. As versões 1.7.2.0 e 1.7.3.0 foram distribuídas pela infraestrutura oficial de empacotamento de extensões do Google em 31 de julho de 2026.
O novo código não trazia mais o mecanismo direto de roubo de conversas, mas introduzia uma função de monetização agressiva: sempre que a extensão era atualizada ou desinstalada, ela abria automaticamente uma nova aba no navegador com um link de afiliado, gerando comissões para os operadores sem qualquer consentimento informado do usuário.
Esse comportamento ilustra uma tendência preocupante: extensões inicialmente maliciosas podem tentar “se limpar” para voltar à loja, mas continuam explorando brechas de confiança e mecanismos incômodos ou abusivos de monetização.
O que o usuário comum precisa observar ao instalar uma VPN no Chrome
Diante desse cenário, alguns cuidados básicos podem reduzir bastante o risco ao escolher extensões de VPN ou proxy:
1. Verificar o desenvolvedor oficial
Compare o nome do desenvolvedor na loja com o nome da empresa no site oficial da VPN. Extensões legítimas costumam ser claramente vinculadas à marca.
2. Desconfiar de clones com nomes muito parecidos
Se houver várias extensões com o mesmo nome ou variações mínimas (“Nord VPN Free”, “NordVPN Fast Proxy”, etc.), vale investigar melhor. Em geral, a marca legítima tem apenas um complemento oficial ou um número pequeno de variantes bem documentadas.
3. Ler as permissões solicitadas
Extensões de VPN, por natureza, pedem acesso à configuração de proxy e ao tráfego. Mesmo assim, é importante verificar se não há permissões desnecessárias, como leitura de dados de todos os sites sem justificativa clara.
4. Avaliar comentários e histórico de atualizações
Reclamações sobre redirecionamentos estranhos, anúncios inesperados, lentidão extrema ou falhas constantes podem ser sinais de comportamento suspeito.
5. Preferir aplicativos de VPN de desktop ou mobile
Quando possível, optar pelos apps oficiais de VPN (no sistema operacional) em vez de extensões do navegador reduz a exposição a campanhas oportunistas na loja.
Impacto para a confiança no ecossistema de extensões
Casos como o das 737 extensões de VPN fraudulentas e da extensão de IA que retorna com monetização abusiva fragilizam a confiança do público no ecossistema de complementos para navegadores. Extensões são, em tese, uma forma poderosa de ampliar funcionalidades e melhorar a produtividade, mas também representam uma superfície de ataque privilegiada.
Para usuários menos técnicos, distinguir entre um complemento legítimo e um clone malicioso é uma tarefa difícil. Isso aumenta a responsabilidade das lojas oficiais em reforçar critérios de aprovação, monitorar comportamentos suspeitos após atualizações e agir com rapidez ao remover conteúdos que violem políticas de transparência e privacidade.
Tendência de longo prazo: mais controle, menos “gratuito” sem explicação
A combinação de redirecionamento opaco de tráfego, falsificação de marcas e estratégias agressivas de monetização aponta para uma tendência: serviços que se apresentam como totalmente “gratuitos” mas exigem controle amplo sobre a navegação costumam ter algum custo oculto, seja em privacidade, seja em exposição a riscos.
Para o usuário final, o caminho mais seguro passa por:
– priorizar soluções com reputação consolidada;
– desconfiar de qualquer produto que pareça “bom demais para ser verdade”;
– ler com atenção descrições, termos de uso e políticas de privacidade;
– revisar periodicamente as extensões instaladas, removendo o que não for essencial.
Ao mesmo tempo, a pressão por mais transparência deve crescer tanto sobre desenvolvedores quanto sobre plataformas de distribuição, na tentativa de reduzir o espaço para campanhas tão extensas e coordenadas como a que atingiu centenas de extensões de VPN no Chrome.