إضافات VPN مزيفة تنتشر على Chrome وتهدد بيانات المستخدمين بشكل واسع

كشفت دراسة أمنية حديثة عن انتشار مئات إضافات VPN المزيفة على متجر Chrome Web Store، حيث ادعت هذه الأدوات توفير حماية للهوية والبيانات أثناء تصفح الإنترنت، بينما كانت تعمل على تمرير حركة المستخدمين عبر خوادم يسيطر عليها مشغلوها.

وأظهرت نتائج البحث وجود 737 إضافة VPN وProxy مرتبطة بما لا يقل عن 40 حسابًا للمطورين على متجر Chrome Web Store، مع إمكانية تعرض بيانات التصفح للخطر، خاصة أن هذه الأدوات لم تقدم مستوى الحماية والتشفير المتوقع من خدمات VPN الحقيقية.

ورصد فريق Threat Research Team التابع لشركة Socket نحو 270 إضافة تنتحل أسماء علامات معروفة مثل ProtonVPN وNordVPN، بينما تجاوز عدد عمليات تثبيت هذه الإضافات 75,000 مرة، وتركزت نسبة كبيرة من المستخدمين في أوساط الناطقين بالروسية.

إضافات مزيفة

وربط الباحثون مجموعة الإضافات بشركة اشتراكات VPN روسية تحمل اسم Myxa VPN، واعتمدوا في عملية التتبع على مؤشرات مختلفة، شملت حساب تحليلات مشترك، ومجموعات من نطاقات الإنترنت المسجلة، وخوادم استضافة متشابهة، إلى جانب مسارات بناء Windows مسربة تشير إلى مجلد مشروع واحد.

واستخدمت الإضافات أساليب مختلفة لجذب المستخدمين والظهور كخدمات VPN حقيقية، كما روج بعضها لاشتراكات مدفوعة، ما جعل المشكلة لا تقتصر على مخاطر الخصوصية، بل امتدت أيضًا إلى إمكانية دفع المستخدمين مقابل خدمات لا توفر الحماية المعلنة.

واختبر الباحثون كذلك 200 نطاق مدفوع موزعة على 40 نطاقًا رئيسيًا، وشملت الاختبارات خوادم قيل إنها موجودة في اليابان وسنغافورة وأستراليا، لكن النتائج كشفت عدم وجود سجل A لأي منها، ما يشير إلى أن هذه الخوادم لم تكن موجودة فعليًا كما تم الترويج لها.

تسريب البيانات

وأوضحت نتائج التحليل أن طريقة عمل هذه الإضافات كانت متشابهة في الأساس، فعند ضغط المستخدم على زر Connect، يتم تمرير حركة التصفح عبر خادم يسيطر عليه مشغل الإضافة، دون توفير استثناءات خاصة بالمواقع أو آلية حماية حقيقية لحركة البيانات.

وكشفت الدراسة أن الإضافات لم تضف تشفيرًا إلى حركة الإنترنت، وهو ما يعني أن المستخدم لا يحصل على الحماية الأساسية التي يفترض أن توفرها خدمة VPN، رغم ظهور الإضافة أمامه على أنها أداة لحماية الاتصال والخصوصية.

وأشارت Socket إلى أن هذا الأسلوب قد يمنح مشغلي الخوادم قدرة كبيرة على الوصول إلى بيانات تصفح المستخدمين، بما يشمل سجل المواقع، وبيانات TLS SNI، وعناوين IP الأصلية، إضافة إلى البيانات المرسلة عبر اتصالات HTTP غير المشفرة.

وحذرت النتائج من إمكانية كشف بيانات تسجيل الدخول التي يدخلها المستخدم في مواقع لا تستخدم HTTPS، ما يزيد من خطورة الاعتماد على هذه الإضافات، خاصة عند استخدامها أثناء الوصول إلى حسابات شخصية أو خدمات تحتوي على بيانات حساسة.

إزالة جزئية

وأزالت جوجل 221 إضافة من أصل 737 إضافة كانت موجودة ضمن بيانات الباحثين وقت جمع المعلومات، لكن 516 إضافة ظلت مدرجة على متجر Chrome Web Store في ذلك الوقت، ما يعكس حجم المشكلة وسرعة انتشار هذه الأدوات قبل اكتشافها وإزالتها.

ويؤكد انتشار هذه الإضافات أهمية التحقق من مصدر أي VPN قبل تثبيته على المتصفح، خاصة أن اسم العلامة التجارية أو عدد عمليات التثبيت لا يكفي وحده للتأكد من سلامة الأداة، كما يمكن أن تستخدم الإضافات المزيفة أسماء خدمات معروفة لخداع المستخدمين.

وينصح خبراء الأمن المستخدمين بالاعتماد على أدوات VPN موثوقة ومعروفة، مع مراجعة التقييمات العامة والتأكد من الترخيص والجهة المطورة قبل التثبيت، كما يفضل تجنب الإضافات التي تطلب صلاحيات واسعة دون توضيح سبب الحاجة إليها.