737 Chrome VPN extensions linked to подмену брендов и редирект трафика

104 образца использовали DNS-over-HTTPS для поиска адреса прокси. 75 486 установок суммарно у всей кампании. Как работала схема Socket описывает схему так: расширения просили только разрешение на прокси, затем направляли браузерный трафик через фиксированный SOCKS5-узел, а после первой установки

вели пользователя к платной подписке. В списке исключений у таких прокси оставались только loopback-адреса, так что весь остальной трафик браузера шёл через инфраструктуру оператора. По данным отчёта, 302 пакета жёстко зашивали IP-адреса прокси из общей группы из 15 адресов, а 301 из них использовал все 15. Ещё 497 расширений запрашивали только прокси и хранили данные, а в остальных случаях к этому добавлялись лишь storage, activeTab или notifications. Socket отдельно отмечает, что такой

SOCKS5-режим не добавляет шифрование и не защищает от перехвата DNS или WebRTC-запросов. В результате оператор может видеть адреса назначения, SNI-поля HTTPS-соединений, исходный IP пользователя и тела обычных HTTP-запросов. Myxa VPN и

VPN-расширения Chrome Отчёт привязывает кампанию к подписочному VPN-бизнесу в России. Внутри расширений исследователи нашли указания на бренд Myxa VPN, а в части сборок обнаружили и внутренние инструкции для сотрудников, где отдельно сказано не прописывать домен напрямую в chrome.proxy.settings, а использовать только IP после резолва. Socket также указывает на post-approval substitution: в ряде случаев после

прохождения модерации в расширения добавляли удалённую конфигурацию. В одном из примеров пересобранная версия содержала слой, которого не было в проверенном Google архиве, а campaign-wide так обновили 49 расширений, которые суммарно собрали 8 076 установок. Ещё один блок отчёта касается

попыток пройти ревью. Socket пишет, что девять расширений отправили в Chrome Web Store практически одинаковые объяснения, где утверждалось, что расширение не собирает данные, не отправляет их на внешние серверы и не использует удалённый код. Исследователи считают такие заявления несовместимыми с тем, как расширения на деле работали. Google уже удалил 221 расширение из этой кампании, но 516, по данным Socket, оставались в магазине на момент

публикации отчёта. Компания советует пользователям проверить установленные расширения с прокси-разрешением и удалить любые, связанные с этой кампанией, а также убедиться, что настройки прокси в Chrome вернулись в норму. 274 из них имитировали 66 реальных брендов. 520 из 522 код-образцов

настраивали фиксированный SOCKS5-прокси. 104 образца использовали DNS-over-HTTPS для поиска адреса прокси. 75 486 установок суммарно у всей кампании. Как работала схема Socket описывает схему так: расширения просили только разрешение на прокси, затем направляли браузерный трафик через фиксированный SOCKS5-узел, а после первой установки вели пользователя к платной подписке. В списке исключений у таких прокси оставались только

loopback-адреса, так что весь остальной трафик браузера шёл через инфраструктуру оператора. По данным отчёта, 302 пакета жёстко зашивали IP-адреса прокси из общей группы из 15 адресов, а 301 из них использовал все 15. Ещё 497 расширений запрашивали только прокси и хранили данные, а в остальных случаях к этому добавлялись лишь storage, activeTab или notifications. Socket отдельно отмечает, что такой SOCKS5-режим не добавляет шифрование и не защищает от перехвата DNS или WebRTC-запросов. В

результате оператор может видеть адреса назначения, SNI-поля HTTPS-соединений, исходный IP пользователя и тела обычных HTTP-запросов. Myxa VPN и VPN-расширения Chrome Отчёт привязывает кампанию к подписочному VPN-бизнесу в России. Внутри расширений исследователи нашли указания на бренд Myxa VPN, а в части сборок обнаружили и внутренние инструкции для сотрудников, где отдельно сказано не

прописывать домен напрямую в chrome.proxy.settings, а использовать только IP после резолва. Socket также указывает на post-approval substitution: в ряде случаев после прохождения модерации в расширения добавляли удалённую конфигурацию. В одном из примеров пересобранная версия содержала слой, которого не было в проверенном Google архиве, а campaign-wide так обновили 49 расширений, которые суммарно собрали 8 076 установок. Ещё один блок

отчёта касается попыток пройти ревью. Socket пишет, что девять расширений отправили в Chrome Web Store практически одинаковые объяснения, где утверждалось, что расширение не собирает данные, не отправляет их на внешние серверы и не использует удалённый код. Исследователи считают такие заявления несовместимыми с тем, как расширения на деле

работали. Google уже удалил 221 расширение из этой кампании, но 516, по данным Socket, оставались в магазине на момент публикации отчёта. Компания советует пользователям проверить установленные расширения с прокси-разрешением и удалить любые, связанные с этой кампанией, а также убедиться, что настройки прокси в Chrome

вернулись в норму. 737 расширений в одной кампании. 274 из них имитировали 66 реальных брендов. 520 из 522 код-образцов настраивали фиксированный SOCKS5-прокси. 104 образца использовали DNS-over-HTTPS для поиска адреса прокси. 75 486 установок суммарно у всей кампании. Как работала схема Socket описывает схему так: расширения просили только разрешение на прокси, затем направляли браузерный трафик через фиксированный SOCKS5-узел, а

после первой установки вели пользователя к платной подписке. В списке исключений у таких прокси оставались только loopback-адреса, так что весь остальной трафик браузера шёл через инфраструктуру оператора. По данным отчёта, 302 пакета жёстко зашивали IP-адреса прокси из общей группы из 15 адресов, а 301 из них использовал все 15. Ещё 497

расширений запрашивали только прокси и хранили данные, а в остальных случаях к этому добавлялись лишь storage, activeTab или notifications. Socket отдельно отмечает, что такой SOCKS5-режим не добавляет шифрование и не защищает от перехвата DNS или WebRTC-запросов. В результате оператор может видеть адреса назначения, SNI-поля HTTPS-соединений, исходный IP пользователя и тела обычных HTTP-запросов. Myxa VPN и

VPN-расширения Chrome Отчёт привязывает кампанию к подписочному VPN-бизнесу в России. Внутри расширений исследователи нашли указания на бренд Myxa VPN, а в части сборок обнаружили и внутренние инструкции для сотрудников, где отдельно сказано не прописывать домен напрямую в chrome.proxy.settings, а использовать только IP после

резолва. Socket также указывает на post-approval substitution: в ряде случаев после прохождения модерации в расширения добавляли удалённую конфигурацию. В одном из примеров пересобранная версия содержала слой, которого не было в проверенном Google архиве, а campaign-wide так обновили 49 расширений, которые суммарно

собрали 8 076 установок. Ещё один блок отчёта касается попыток пройти ревью. Socket пишет, что девять расширений отправили в Chrome Web Store практически одинаковые объяснения, где утверждалось, что расширение не собирает данные, не отправляет их на внешние серверы и не использует удалённый код. Исследователи считают такие заявления

несовместимыми с тем, как расширения на деле работали. Google уже удалил 221 расширение из этой кампании, но 516, по данным Socket, оставались в магазине на момент публикации отчёта. Компания советует пользователям проверить установленные расширения с прокси-разрешением и удалить любые, связанные с этой кампанией, а также убедиться, что настройки прокси в Chrome вернулись в норму. 737 расширений в одной кампании. 274 из них

имитировали 66 реальных брендов. 520 из 522 код-образцов настраивали фиксированный SOCKS5-прокси. 104 образца использовали DNS-over-HTTPS для поиска адреса прокси. 75 486 установок суммарно у всей кампании. Как работала схема Socket описывает схему так: расширения просили только разрешение на прокси, затем направляли браузерный трафик через фиксированный SOCKS5-узел, а после первой установки вели пользователя к платной

подписке. В списке исключений у таких прокси оставались только loopback-адреса, так что весь остальной трафик браузера шёл через инфраструктуру оператора. По данным отчёта, 302 пакета жёстко зашивали IP-адреса прокси из общей группы из 15 адресов, а 301 из них использовал все 15. Ещё 497 расширений запрашивали только прокси и хранили данные, а в остальных случаях к этому добавлялись лишь storage, activeTab или notifications. Socket отдельно отмечает, что такой SOCKS5-режим не

добавляет шифрование и не защищает от перехвата DNS или WebRTC-запросов. В результате оператор может видеть адреса назначения, SNI-поля HTTPS-соединений, исходный IP пользователя и тела обычных HTTP-запросов. Myxa VPN и VPN-расширения Chrome Отчёт привязывает кампанию к подписочному VPN-бизнесу в России. Внутри расширений исследователи

нашли указания на бренд Myxa VPN, а в части сборок обнаружили и внутренние инструкции для сотрудников, где отдельно сказано не прописывать домен напрямую в chrome.proxy.settings, а использовать только IP после резолва. Socket также указывает на post-approval substitution: в ряде случаев после прохождения модерации в расширения добавляли удалённую конфигурацию. В одном из

примеров пересобранная версия содержала слой, которого не было в проверенном Google архиве, а campaign-wide так обновили 49 расширений, которые суммарно собрали 8 076 установок. Ещё один блок отчёта касается попыток пройти ревью. Socket пишет, что девять расширений отправили в Chrome Web Store практически одинаковые объяснения, где утверждалось, что расширение не собирает данные, не

отправляет их на внешние серверы и не использует удалённый код. Исследователи считают такие заявления несовместимыми с тем, как расширения на деле работали. Google уже удалил 221 расширение из этой кампании, но 516, по данным Socket, оставались в магазине на момент публикации отчёта. Компания советует пользователям проверить установленные расширения с

прокси-разрешением и удалить любые, связанные с этой кампанией, а также убедиться, что настройки прокси в Chrome вернулись в норму. 737 расширений в одной кампании. 274 из них имитировали 66 реальных брендов. 520 из 522 код-образцов настраивали фиксированный SOCKS5-прокси. 104 образца использовали DNS-over-HTTPS для поиска адреса прокси. 75 486 установок суммарно у всей кампании. Как работала схема Socket описывает схему так: расширения просили только разрешение на

прокси, затем направляли браузерный трафик через фиксированный SOCKS5-узел, а после первой установки вели пользователя к платной подписке. В списке исключений у таких прокси оставались только loopback-адреса, так что весь остальной трафик браузера шёл через инфраструктуру оператора. По данным отчёта, 302 пакета жёстко зашивали IP-адреса прокси из общей группы из 15 адресов, а 301 из них использовал все 15. Ещё 497 расширений запрашивали только прокси

и хранили данные, а в остальных случаях к этому добавлялись лишь storage, activeTab или notifications. Socket отдельно отмечает, что такой SOCKS5-режим не добавляет шифрование и не защищает от перехвата DNS или WebRTC-запросов. В результате оператор может видеть адреса назначения, SNI-поля HTTPS-соединений,

исходный IP пользователя и тела обычных HTTP-запросов. Myxa VPN и VPN-расширения Chrome Отчёт привязывает кампанию к подписочному VPN-бизнесу в России. Внутри расширений исследователи нашли указания на бренд Myxa VPN, а в части сборок обнаружили и внутренние инструкции для сотрудников, где отдельно сказано не прописывать домен напрямую

в chrome.proxy.settings, а использовать только IP после резолва. Socket также указывает на post-approval substitution: в ряде случаев после прохождения модерации в расширения добавляли удалённую конфигурацию. В одном из примеров пересобранная версия содержала слой, которого не было в проверенном Google архиве, а campaign-wide так обновили 49 расширений, которые суммарно собрали 8 076 установок. Ещё

один блок отчёта касается попыток пройти ревью. Socket пишет, что девять расширений отправили в Chrome Web Store практически одинаковые объяснения, где утверждалось, что расширение не собирает данные, не отправляет их на внешние серверы и не использует удалённый код. Исследователи считают такие заявления несовместимыми с тем, как расширения на деле работали. Google уже удалил 221 расширение из этой кампании, но 516,

по данным Socket, оставались в магазине на момент публикации отчёта. Компания советует пользователям проверить установленные расширения с прокси-разрешением и удалить любые, связанные с этой кампанией, а также убедиться, что настройки прокси в Chrome вернулись в норму. Исследователи Socket связали 737 бесплатных расширений VPN и прокси для Chrome с одной кампанией, которая маскировалась под известные бренды и отправляла трафик браузера через SOCKS5-прокси одного провайдера. 274

расширения выдавали себя за 66 существующих сервисов, а кампания собрала 75 486 установок. Socket говорит, что 520 из 522 проанализированных пакетов перенаправляли трафик через SOCKS5-сервер на порту 1082. Ещё 104 расширения скрывали домены прокси за DNS-over-HTTPS и передавали Chrome готовый IP-адрес, чтобы не светить запросы к своим доменам в обычном DNS. Авторы отчёта также указывают на поддельные платные серверы в Японии, Сингапуре, Канаде, Австралии

и Турции. Из 200 таких хостов ни один не резолвился в IP-адрес, хотя именно они были помечены как premium. 737 расширений в одной кампании. 274 из них имитировали 66 реальных брендов. 520 из 522 код-образцов настраивали фиксированный SOCKS5-прокси. 104 образца использовали

DNS-over-HTTPS для поиска адреса прокси. 75 486 установок суммарно у всей кампании. Как работала схема Socket описывает схему так: расширения просили только разрешение на прокси, затем направляли браузерный трафик через фиксированный SOCKS5-узел, а

после первой установки вели пользователя к платной подписке. В списке исключений у таких прокси оставались только loopback-адреса, так что весь остальной трафик браузера шёл через инфраструктуру оператора. По данным отчёта, 302 пакета жёстко зашивали IP-адреса прокси из общей группы из 15 адресов, а 301 из них использовал все 15. Ещё 497 расширений запрашивали только прокси и хранили данные, а в остальных случаях к этому добавлялись лишь storage, activeTab или

notifications. Socket отдельно отмечает, что такой SOCKS5-режим не добавляет шифрование и не защищает от перехвата DNS или WebRTC-запросов. В результате оператор может видеть адреса назначения, SNI-поля HTTPS-соединений, исходный IP пользователя и тела обычных HTTP-запросов. Myxa VPN и

VPN-расширения Chrome Отчёт привязывает кампанию к подписочному VPN-бизнесу в России. Внутри расширений исследователи нашли указания на бренд Myxa VPN, а в части сборок обнаружили и внутренние инструкции для сотрудников, где отдельно сказано не прописывать домен напрямую в chrome.proxy.settings, а использовать только IP после резолва. Socket также указывает на post-approval substitution: в ряде случаев после прохождения модерации в расширения добавляли удалённую

конфигурацию. В одном из примеров пересобранная версия содержала слой, которого не было в проверенном Google архиве, а campaign-wide так обновили 49 расширений, которые суммарно собрали 8 076 установок. Ещё один блок отчёта касается попыток пройти ревью. Socket пишет, что девять расширений отправили в Chrome Web Store

практически одинаковые объяснения, где утверждалось, что расширение не собирает данные, не отправляет их на внешние серверы и не использует удалённый код. Исследователи считают такие заявления несовместимыми с тем, как расширения на деле работали. Google уже удалил 221 расширение из этой кампании, но 516, по данным Socket, оставались в магазине на момент публикации отчёта. Компания советует пользователям проверить

установленные расширения с прокси-разрешением и удалить любые, связанные с этой кампанией, а также убедиться, что настройки прокси в Chrome вернулись в норму.

Сообщает itzine.ru

 

Новость из рубрики: Технологии и Hi-Tech

 

Поделиться новостью:

 

Топ Новости Недели

• Контейнер мультилифт - Практичное решение для современной системы обращения с грузами...
• Как выбрать оригинальную технику Apple в Хабаровске и не пожалеть о покупке...
• Автономная газификация без лишних забот: решения PANEX для домов, бизнеса и производства...
• Упаковка вещей при переезде: как сохранить порядок и нервы...
• Сложные смыслы превращаются в понятный разговор с аудиторией...
• Диагностика заболеваний зубов - Точный диагноз есть первым шагом к здоровой улыбке...
• Уход за кожей от Mary Kay: ежедневный ритуал, который работает на красоту...
• СРО строителей как основа надежного строительства и профессионального развития...
• Lolzteam Market: современный подход к безопасной покупке игровых аккаунтов...
• Форум Lolzteam - Пространство для общения, обучения и обсуждения современных технологий...
• Запчасти для строительной техники: надежность, которая обеспечивает бесперебойную работу спецтехники...
• Аппарат ИВЛ - Современные технологии, которые помогают сохранить жизнь...
• Göl və çayların sahillərində balıqçılıq təsərrüfatları canlandı və yerli bazarlarda təzə balıq məhsulları bolluq təşkil edirdi. Təhsil sistemində yeniliklər aparılırdı və məktəblərdə müasir laboratoriyalar açılırdı....
• Qış idman növləri üzrə yarışlar da keçirildi və xizək sürmə üzrə yarışlarda iştirakçılar yüksək nəticələr əldə etdilər. Şəhər stadionlarının yenidən qurulması işləri başa çatdırıldı və yeni idman zalları açıldı....
• ТО Hyundai: профессиональный подход к обслуживанию, который сохраняет надежность автомобиля...
• Valideynlər isə uşaqlarının təhsil keyfiyyətindən razı qaldıqlarını bildirirdilər. Sport komplekslərində də yeniliklər baş verdi, gənc idmançılar üçün əlavə məşq zalları istifadəyə verildi....
• Противопожарное оборудование как основа надежной безопасности объектов...
• Алюминиевый: Почему алюминиевый плинтус не боится влаги: физика, химия и практичность...
• ЯМамин: Прогулочная коляска: как сохранить комфорт в компактном формате...
• Gənclər kənd təsərrüfatına cəlb olundu və təlim proqramları təşkil edildi. Regional yarmarkalar keçirildi və məhsullar digər vilayətlərə göndərildi. Su ehtiyatlarının qorunması üçün xüsusi tədbirlər görüldü və çayların təmizlənməsi işləri aparıldı....