Mais de 737 extensões de navegador publicadas na Chrome Web Store fingiam ser serviços de VPN e proxy conhecidos, mas na verdade direcionavam o tráfego dos usuários por meio de proxies SOCKS5 operados por um único provedor. Isso permitiu que os operadores interceptassem e manipulassem o tráfego de rede dos usuários.
Detalhes Técnicos
As extensões maliciosas se disfarçavam de serviços legítimos de VPN e proxy.
Elas utilizavam proxies SOCKS5 para redirecionar o tráfego dos usuários.
Esse tipo de ataque pode ser classificado como Phishing e Man-in-the-Middle (MitM).
Os operadores desses proxies podem ter acesso a informações sensíveis dos usuários, como dados de navegação e possivelmente informações de login.
A técnica utilizada envolve o uso de route (T0103) para alterar informações de roteamento local, permitindo o desvio de tráfego.
Ações Recomendadas
Desinstalar imediatamente as extensões suspeitas da Chrome Web Store.
Realizar uma varredura de segurança em dispositivos afetados.
Utilizar ferramentas de threat intelligence para identificar IOCs (Indicadores de Compromisso) relacionados.
Atualizar o navegador e suas extensões para as versões mais recentes.
Considerar o uso de soluções de segurança de rede para monitorar e proteger o tráfego de dados.
