737 gefälschte Chrome-VPN-Erweiterungen leiten Browser-Traffic um
Eine großangelegte Kampagne im Chrome Web Store nutzt 737 vermeintliche VPN- und Proxy-Erweiterungen, um Browser-Traffic über fest eingestellte SOCKS5-Proxys umzuleiten. 274 Erweiterungen imitieren 66 etablierte Marken wie Proton VPN, NordVPN oder ExpressVPN. Über 75.000 Installationen sind laut Socket betroffen, verteilt auf mindestens 40 Entwickler-Accounts.
Sicherheitsforscher des Unternehmens Socket haben eine großangelegte Kampagne im Chrome Web Store aufgedeckt: 737 als VPN oder Proxy beworbene Browser-Erweiterungen leiten den Datenverkehr der Nutzer über fest konfigurierte SOCKS5-Proxys um, ohne dass dies für Anwender transparent ist. Betroffen sind laut den Recherchen über 75.000 Installationen weltweit.
Was wurde entdeckt
Nach Angaben von Socket stammen die 737 Erweiterungen aus mindestens 40 unterschiedlichen Entwickler-Accounts im Chrome Web Store. Ein Teil der Erweiterungen, konkret 274 Stück, gibt sich als etablierte, seriöse VPN- und Datenschutz-Marken aus. Zu den imitierten Namen zählen unter anderem Proton VPN, NordVPN, Surfshark, ExpressVPN, CyberGhost, Windscribe, TunnelBear sowie Cloudflares öffentlicher DNS-Resolver 1.1.1.1 und Googles Outline-Projekt.
Statt echter VPN-Verschlüsselung nutzen die Erweiterungen laut Bericht Chromes eingebaute Proxy-API, um sämtlichen Traffic über einen fest hinterlegten SOCKS5-Server zu leiten. Ein Teil der untersuchten Erweiterungen löst die Zieladressen der Proxy-Server über DNS-over-HTTPS bei Cloudflare oder Google auf, bevor Chrome eine rohe IP-Adresse übergeben wird. Das verschleiert die Proxy-Infrastruktur zusätzlich und erschwert klassische DNS-basierte Erkennung.
Warum das riskant ist
Wer seinen gesamten Browser-Traffic unwissentlich durch einen fremden Proxy schickt, gibt dem Betreiber dieser Infrastruktur potenziell Einblick in alle unverschlüsselten Verbindungen sowie in Metadaten wie besuchte Domains. Bei geschäftlich genutzten Geräten kann das interne Systeme, Login-Portale oder Cloud-Dienste betreffen, deren Zugriffsmuster damit außerhalb der eigenen Kontrolle sichtbar werden.
Besonders kritisch: Anders als bei klassischer Malware handelt es sich hier um regulär im Chrome Web Store gelistete Erweiterungen, die Google-Reviewprozesse durchlaufen haben. Nutzer, die aktiv nach einem kostenlosen VPN gesucht haben, installieren die Erweiterung freiwillig, ohne die Proxy-Umleitung zu bemerken.
| Kennzahl | Wert |
|---|---|
| Betroffene Erweiterungen | 737 |
| Davon Marken-Imitationen | 274 (66 imitierte Marken) |
| Kombinierte Installationen | über 75.000 |
| Beteiligte Entwickler-Accounts | mindestens 40 |
| Verschleierungsmethode | DNS-over-HTTPS zur Proxy-Domain-Auflösung (Teilmenge) |
Was Admins jetzt prüfen sollten
- In der zentralen Chrome-Verwaltung (Google Admin Console oder Group Policy) prüfen, welche Erweiterungen auf Firmengeräten installiert sind.
- Nach VPN- oder Proxy-Erweiterungen suchen, die nicht über eine zentral verwaltete Allowlist freigegeben wurden.
- Nutzer sensibilisieren: kostenlose VPN-Erweiterungen aus dem Chrome Web Store grundsätzlich kritisch prüfen, insbesondere bei geringer Installationszahl oder fehlenden Bewertungen.
- Wo möglich, Erweiterungsinstallation per Richtlinie auf eine unternehmensseitig gepflegte Positivliste beschränken.
- Bei Verdacht auf betroffene Erweiterungen: chrome://extensions öffnen, verdächtige Einträge deinstallieren und Browser-Cache sowie gespeicherte Zugangsdaten prüfen.
Praktischer Check für den Alltag
- Erweiterungsberechtigungen im Detail lesen: Zugriff auf "alle Websites lesen und ändern" ist bei einer echten VPN-Erweiterung üblich, sollte aber bewusst hinterfragt werden.
- Entwickler-Impressum und Historie der Erweiterung im Chrome Web Store prüfen, nicht nur Sternebewertung und Icon.
- Bei geschäftskritischen Umgebungen auf dedizierte, vertraglich abgesicherte VPN-Lösungen setzen statt auf kostenlose Browser-Erweiterungen.
- Regelmäßige Extension-Audits als festen Bestandteil des IT-Sicherheitsprozesses etablieren, nicht nur einmalig nach einem Vorfall.
Admin-Einschätzung
Der Fall zeigt erneut, dass die Kuratierung im Chrome Web Store allein keinen verlässlichen Schutz bietet. Für kleine und mittlere Unternehmen ist die praktische Konsequenz weniger ein einzelner Patch als ein strukturelles Thema: Browser-Erweiterungen sollten wie jede andere Software-Installation einem Freigabeprozess unterliegen, insbesondere auf Geräten mit Zugriff auf Firmendaten. Wer bislang keine zentrale Erweiterungsverwaltung eingerichtet hat, sollte diesen Vorfall als Anlass nehmen, das nachzuholen.
Passende Anleitungen auf S-EDV
- NetBird mit Docker: Zero-Trust-Netzwerk für verteilte Teams aufbauen - Alternative zu kommerziellen VPN-Lösungen mit voller eigener Kontrolle.
- WG-Easy mit Docker: WireGuard-VPN mit Weboberfläche betreiben - selbst gehostete VPN-Lösung statt Drittanbieter-Erweiterungen.
