Extensiones VPN falsas en Chrome que interceptan tu tráfico y te vigilan

Investigadores de seguridad han identificado un paquete masivo de extensiones para navegadores que se presentaban como soluciones gratuitas de VPN y proxy, dirigido principalmente a usuarios de habla rusa que buscaban sortear bloqueos. Según el análisis divulgado por la firma Socket y confirmado por el investigador Kush Pandya, se detectaron 737 complementos publicados desde al menos 40 cuentas de desarrollador en la Chrome Web Store, con un total aproximado de 75.486 instalaciones. De ese conjunto, 274 extensiones imitaban marcas conocidas de privacidad y VPN —entre ellas Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN y otras— y 221 han sido retiradas por Google, mientras que 516 permanecen activas.

Qué hacen técnicamente estas extensiones y por qué son peligrosas: la mayoría de los complementos identificados reconfiguran la proxy del navegador mediante la API chrome.proxy.settings para fijar un servidor SOCKS5 en el puerto 1082. Al hacerlo, todas las solicitudes del navegador se canalizan por un relé controlado por el actor malicioso. Ese posicionamiento coloca al operador en una situación de adversary-in-the-middle (AitM): puede ver las direcciones de destino, las IPs origen que solicitan los recursos, los nombres de servidor en claro que aparecen en la negociación TLS (SNI) y cualquier contenido transmitido en texto plano (HTTP). Además, las extensiones incluyen una lista de exclusión que únicamente permite el tráfico hacia la interfaz de loopback (localhost), lo que significa que prácticamente todo el resto del tráfico pasa por el proxy malicioso.

Señales de fraude y tácticas de evasión: el conjunto exhibe una serie de indicadores deliberados de abuso: muchas extensiones anuncian planes “premium” o ubicaciones de servidores inexistentes, incluyen instrucciones internas para evitar poner dominios directamente en chrome.proxy.settings (sugiriendo uso de direcciones IP resueltas), añaden capas de configuración remota después de la aprobación y subieron justificaciones idénticas al proceso de revisión del almacén afirmando “No se transmiten datos a servidores externos”. También se ha documentado que algunas versiones fallaban todas las conexiones mientras mostraban interfaces de conexión aparentemente legítimas, tácticas diseñadas para ocultar el comportamiento real al usuario y a los revisores humanos.

Desde el punto de vista operacional, Pandya señala que 520 de 522 extensiones de una muestra masiva enrutan el tráfico a la misma infraestructura SOCKS5, lo que indica una plataforma centralizada detrás del esquema. La propiedad de los servidores no se establece de forma concluyente en el código: podrían ser operados directamente por el actor o revenderse desde un proveedor tercero, en cuyo caso otra entidad tendría la misma capacidad de inspección del tráfico.

¿A quién afecta esto? los usuarios que buscan extensiones de “VPN” o “proxy” en la Chrome Web Store y que instalan complementos sin verificar su procedencia son los más expuestos. Dado el objetivo declarado hacia hablantes de ruso y la oferta de servicios gratuitos o supuestamente compatibles con la evasión de censura, víctimas probables incluyen activistas, periodistas, usuarios que intentan acceder a servicios bloqueados y cualquier cuenta que confíe en el navegador para transporte de credenciales o servicios web sensibles.

Consecuencias prácticas: mientras una extensión maliciosa esté activa y conectada, el operador puede correlacionar la identidad del usuario (por IP pública), las webs visitadas y, si el sitio no usa HTTPS, el contenido de las peticiones. Incluso con HTTPS, la exposición de SNI puede revelar a qué dominios se conecta el usuario; los metadatos de las sesiones y cualquier recurso no cifrado quedan disponibles para el interceptor. Además, la imitación de marcas confiables incrementa la probabilidad de instalación y reduce la detección casual.

Hay elementos de atribución parcial en el hallazgo: los paquetes contienen un número de contribuyente tributario de 12 dígitos y rutas de compilación de Windows que incluyen nombres en cirílico y directorios personales (por ejemplo, “C:\\Users\\ollob\\OneDrive\\Документы\\…”). Estos indicios llevaron a los investigadores a estimar que el negocio de suscripción podría operar desde Rusia, pero esa conexión no es definitiva: el uso de identificadores locales y rutas de archivo es fuerte evidencia circunstancial pero no una prueba legalmente concluyente de ubicación o identidad del operador.

Paralelamente, Netskope Threat Labs reportó el retorno de otra extensión problemática conocida como “AI Sidebar with Deepseek, ChatGPT, Claude, and more”, que tras eliminar código de exfiltración en una actualización volvió a distribuir un payload de monetización que abre enlaces afiliados en primer plano durante actualizaciones y desinstalaciones. Este caso sirve como recordatorio: las extensiones pueden cambiar su comportamiento tras la aprobación inicial y usar la infraestructura de actualizaciones para introducir funcionalidades maliciosas o no autorizadas.

Qué está confirmado, qué es estimado y qué permanece incierto: está confirmado que cientos de extensiones configuraban proxies SOCKS5 y que miles de instalaciones se produjeron; está confirmado igualmente que muchas imitaban marcas reales y que 221 fueron retiradas. Es estimado —con respaldo documental en los paquetes— que la operación tiene vínculos con actores en Rusia, pero esa atribución no es categórica sin evidencia adicional. Permanecen inciertos el grado exacto de propiedad de la infraestructura de proxy (propio versus revendido) y el alcance real del tráfico interceptado fuera de la muestra analizada.

Recomendaciones concretas y medidas inmediatas para los lectores: desinstale de inmediato extensiones de VPN o proxy que no haya instalado de forma deliberada o que parezcan imitar marcas conocidas; revise la lista de extensiones activas en chrome://extensions y deshabilite las que soliciten control de proxy (o permisos amplios) salvo que procedan de proveedores verificados. Restablezca la configuración de proxy del navegador si sospecha manipulación y, de ser necesario, reinicie el perfil de Chrome o cree uno nuevo. No dependa exclusivamente de extensiones para protección de extremos; prefiera clientes VPN oficiales con aplicaciones nativas verificadas por el proveedor o soluciones a nivel de sistema operativo. Cambie credenciales utilizadas mientras la extensión pudo haber estado activa y active la autenticación de dos factores (2FA) en servicios críticos.

Si desea profundizar en los riesgos técnicos del SNI y cómo incluso conexiones TLS pueden filtrar metadatos, consulte explicaciones técnicas como la documentación sobre SNI y sus riesgos en el portal de Cloudflare: https://developers.cloudflare.com/learning/security/what-is-sni/. Para prácticas seguras y recomendaciones sobre extensiones y privacidad del navegador, la guía de Electronic Frontier Foundation es un recurso práctico: https://ssd.eff.org/en. Y si desarrolla o publica extensiones, repase las políticas del ecosistema de Chrome Web Store en: https://developer.chrome.com/docs/webstore/program_policies/.

En conclusión, esta campaña subraya que la distribución masiva de extensiones falsas continúa siendo una vía efectiva para interceptar tráfico y defraudar usuarios; la combinación de impersonación de marcas y manipulación silenciosa del proxy convierte a una herramienta aparente de privacidad en un vector de vigilancia. El control riguroso de extensiones instaladas, el uso de software oficial y la adopción de buenas prácticas criptográficas son medidas concretas para reducir el riesgo inmediatamente.