جعل برندهای معتبر برای جلب اعتماد کاربران
بخشی از افزونه‌های جعلی وی‌پی‌ان با سوءاستفاده از نام و هویت برندهای شناخته‌شده منتشر شده بودند. بررسی‌ها نشان می‌دهد ده‌ها برند معتبر در این عملیات جعل شده‌اند، از جمله:
- Proton VPN
- NordVPN
- Surfshark
- ExpressVPN
- 1.1.1، سرویس عمومی DNS شرکت کلودفلر (Cloudflare)
استفاده از نام این برندها می‌توانست اعتماد کاربران را جلب کرده و آن‌ها را به نصب این افزونه‌ها ترغیب کند. پژوهشگران شرکت Socket که در حوزه امنیت اپلیکیشن فعالیت می‌کنند، دریافتند این عملیات از طریق 40 حساب توسعه‌دهنده انجام شده است. همچنین، تمام افزونه‌های مرتبط به یک حساب مشترک تحلیل داده متصل بودند.
نزدیک به 75 هزار بار دانلود افزونه‌های جعلی وی‌پی‌ان
این افزونه‌های جعلی وی‌پی‌ان در مدتی که در فروشگاه کروم در دسترس بودند، نزدیک به 75 هزار بار دانلود شدند. بیشتر این دانلودها توسط کاربران روسی انجام شده بود؛ کاربرانی که برای دسترسی به سرویس‌های مسدودشده در این کشور، به دنبال ابزارهایی برای دور زدن محدودیت‌های دسترسی بودند.
این آمار نشان می‌دهد مهاجمان کاربرانی را هدف قرار داده بودند که به دلیل محدودیت‌های دسترسی، بیشتر از ابزارهای ناشناخته وی‌پی‌ان و پروکسی برای دسترسی به سرویس‌های مسدودشده استفاده می‌کردند.
امکان رهگیری اطلاعات ترافیک کاربران توسط مهاجمان
براساس توضیحات شرکت Socket، زمانی که تمام ترافیک مرورگر کاربر از زیرساخت تحت کنترل مهاجم عبور کند، سرور مهاجم می‌تواند اطلاعات مختلفی از ارتباطات او را رهگیری کند. این اطلاعات شامل مقصد هر اتصال، مقادیر TLS SNI ، آدرس IP مبدأ قربانی و محتوای درخواست‌هایی است که بدون رمزنگاری و از طریق HTTP ساده ارسال می‌شوند.
در چنین شرایطی، اپراتور پروکسی می‌تواند بخش قابل‌توجهی از اطلاعات مربوط به مقصد و ترافیک کاربر را رهگیری کند؛ موضوعی که حریم خصوصی کاربران افزونه‌های جعلی وی‌پی‌ان را با تهدید جدی مواجه می‌کند.
سه نشانه تهدید در فعالیت افزونه‌های جعلی وی‌پی‌ان
پژوهشگران Socket در بررسی این عملیات، سه مورد مشکوک و قابل‌توجه را شناسایی کردند:
- هدایت کامل ترافیک مرورگر: 520 افزونه به‌گونه‌ای پیکربندی شده بودند که تمام ترافیک مرورگر را از طریق پروکسی‌های SOCKS5 تحت کنترل اپراتور و روی پورت 1082 هدایت کنند.
- پنهان‌سازی مقصد پروکسی: 104 افزونه برای یافتن آدرس IP مرتبط با نام میزبان‌های پروکسی، از سرویس DNS روی HTTPS (DoH) شرکت‌های کلودفلر یا گوگل استفاده می‌کردند.
- تبلیغ سرورهای پریمیوم جعلی: برخی از افزونه‌ها سرورهای پریمیوم (Premium) را در ژاپن، سنگاپور، کانادا، استرالیا و ترکیه تبلیغ می‌کردند؛ در حالی که چنین سرورهایی اساساً وجود نداشتند. پژوهشگران معتقدند این قابلیت برای کلاهبرداری از طریق فروش اشتراک طراحی شده بود.
شواهدی از تلاش برای فروش اشتراک وی‌پی‌ان
Socket نتوانست کد همه افزونه‌ها را بررسی کند، زیرا 212 مورد از آن‌ها پیش از بررسی پژوهشگران از فروشگاه حذف شده بودند. با این حال، بررسی رشته‌های متنی موجود در نمونه‌های باقی‌مانده نشان داد که این عملیات احتمالاً با هدف هدایت کاربران به سمت یک سرویس وی‌پی‌ان اشتراکی در روسیه انجام شده است.
این یافته‌ها نشان می‌دهد افزونه‌های جعلی وی‌پی‌ان احتمالاً برای جذب کاربران و فروش اشتراک یک سرویس وی‌پی‌ان در روسیه طراحی شده بودند و صرفاً با هدف فراهم کردن دسترسی به اینترنت یا دور زدن محدودیت‌ها فعالیت نمی‌کردند.
نشانه‌های فریب عمدی و توصیه Socket برای حذف افزونه‌های مشکوک
پژوهشگران Socket دریافتند که افزونه‌های جعلی وی‌پی‌ان از نظر فنی در ظاهر تفاوتی با سرویس‌های قانونی نداشتند، اما بررسی دقیق‌تر نشان داد که در نحوه عملکرد و انتشار آن‌ها، نشانه‌های روشنی از تلاش برای فریب کاربران وجود دارد. مهم‌ترین نشانه‌های فریب عبارتند از:
- جعل هویت برندهای شناخته‌شده
- تبلیغ موقعیت‌های سرور پریمیوم غیرواقعی
- سازوکارهای پرداخت یا اتصال غیرفعال
- ارائه اطلاعات گمراه‌کننده به کارشناسان بررسی فروشگاه
- افزودن پیکربندی از راه دور پس از تأیید افزونه
- استفاده از روش‌های پنهان‌سازی مقصد پروکسی‌ها
بیش از 500 افزونه همچنان در فروشگاه کروم باقی مانده‌اند
Socket اعلام کرده است که گوگل بیش از 200 افزونه مرتبط با این عملیات را از فروشگاه کروم حذف کرده است؛ با این حال، بیش از 500 افزونه همچنان در این فروشگاه در دسترس هستند.
همچنین Socket شناسه تمام افزونه‌های مرتبط با این عملیات را منتشر کرده و از کاربران خواسته است فهرست افزونه‌های نصب‌شده در مرورگر خود را بررسی کنند. کاربران در صورت شناسایی هر یک از موارد مرتبط، باید آن افزونه را حذف کنند. پس از حذف افزونه، کاربران باید پیکربندی پروکسی در کروم را بررسی کنند و مطمئن شوند تنظیمات پروکسی مرورگر به حالت عادی برگشته است.
