พบส่วนขยาย Chrome ปลอมหลายร้อยรายการแอบส่งทราฟฟิกผ่าน SOCKS5 Proxy

หลายร้อยส่วนขยายของ Google Chrome ที่อ้างว่าเป็นบริการ VPN หรือ Proxy ชื่อดัง ถูกค้นพบว่ามีการหลอกลวงผู้ใช้โดยส่งข้อมูลผ่านพร็อกซี่ SOCKS5 ของผู้ให้บริการเดียวที่ไม่ได้รับอนุญาต ทั้งหมดมีจำนวนเกิน 737 รายการ บน Chrome Web Store ซึ่งทำให้ผู้ใช้เสี่ยงต่อการเปิดเผยข้อมูลส่วนบุคคลและกิจกรรมออนไลน์ของตนเอง

Overview

ตามรายงานของ *BleepingComputer* นักวิจัยด้านความปลอดภัยได้ตรวจสอบ Chrome Web Store แล้วพบว่ามี มากกว่า 737 ส่วนขยาย ที่แสร้งทำเป็น VPN หรือ Proxy ของผู้ให้บริการที่มีชื่อเสียง อย่างไรก็ตาม การทำงานจริงของส่วนขยายนั้นไม่ได้ใช้เครือข่าย VPN แต่อย่างใด แต่จะส่งทราฟฟิกทั้งหมดของผู้ใช้ไปยังพร็อกซี่ SOCKS5 ที่ดำเนินการโดยผู้ให้บริการคนเดียวเดียว

ส่วนขยายเหล่านี้มักอธิบายตัวเองว่าเป็น “VPN ฟรี” หรือ “Proxy ปลอดภัย” เพื่อดึงดูดผู้ใช้งานที่กำลังมองหาเครื่องมือปกป้องข้อมูลบนอินเทอร์เน็ต การใช้ชื่อและโลโก้ของบริการ VPN ที่มีอยู่จริงทำให้ผู้ใช้สับสนและติดตั้งโดยไม่สงสัย

Findings

นักวิจัยได้ทำการดาวน์โหลดและวิเคราะห์โค้ดของส่วนขยายหลายรายการ พบว่าทุกไฟล์ที่เกี่ยวข้องกับการเชื่อมต่อเครือข่ายต่าง ๆ จะเรียก API ของพร็อกซี่ SOCKS5 ที่อยู่บนเซิร์ฟเวอร์เดียวกัน ซึ่งหมายความว่าแหล่งข้อมูลทั้งหมดถูกส่งผ่านจุดศูนย์กลางเดียว ทำให้ผู้ควบคุมเซิร์ฟเวอร์สามารถดักจับและอ่านข้อมูลที่ไม่ได้เข้ารหัสได้

นอกจากนี้ การตรวจสอบเมตาดาต้าของส่วนขยายยังเผยให้เห็นว่ามีการใช้ URL ที่ชี้ไปยังโดเมนของผู้ให้บริการพร็อกซี่เดียวกันในหลาย ๆ รายการ แม้ว่าชื่อแอปจะต่างกันก็ตาม ซึ่งเป็นสัญญาณบ่งชี้ว่า กลุ่มผู้โจมตี นี้ได้สร้างชุดส่วนขยายหลายร้อยฉบับโดยใช้โครงสร้างพื้นฐานร่วมกัน

Technical Details

ส่วนขยายเหล่านี้ทำงานโดยการตั้งค่า proxy settings ของเบราว์เซอร์ให้เชื่อมต่อผ่านพร็อกซี่ SOCKS5 ที่ระบุไว้ในไฟล์คอนฟิกของแต่ละส่วนขยาย โค้ด JavaScript ภายในจะจับทุกคำขอ HTTP/HTTPS แล้วส่งต่อไปยังพร็อกซี่โดยไม่มีการเข้ารหัสเพิ่มเติม นั่นหมายความว่าถ้าผู้ใช้เข้าเว็บไซต์ที่ใช้ HTTPS การเชื่อมต่อก็ยังคงถูกถอดรหัสและเข้ารหัสใหม่ที่เซิร์ฟเวอร์พร็อกซี่ก่อนจะถึงเว็บปลายทาง

การใช้ SOCKS5 ยังทำให้ผู้โจมตีสามารถดำเนินการ **MITM (Man‑In‑The‑Middle) บนทราฟฟิกที่ไม่ได้เข้ารหัส รวมถึงอาจแฝงโค้ดอันตรายหรือเปลี่ยนแปลงข้อมูลระหว่างทางได้อย่างง่ายดาย

Risks & Impact

ผู้ใช้ที่ติดตั้งส่วนขยายเหล่านี้เสี่ยงต่อการเปิดเผยข้อมูลส่วนบุคคลเช่น รายละเอียดบัญชีออนไลน์, คุกกี้การเข้าสู่ระบบ, และข้อมูลเครดิต การไหลของทราฟฟิกผ่านศูนย์กลางเดียวทำให้ จุดอ่อนด้านความเป็นส่วนตัว สูงขึ้นอย่างมาก

นอกจากผลกระทบต่อผู้ใช้ส่วนบุคคลแล้ว ธุรกิจและองค์กรที่อนุญาตให้พนักงานติดตั้งส่วนขยายเหล่านี้บนเครื่องทำงานก็อาจเผชิญกับการรั่วไหลของข้อมูลภายในบริษัท รวมถึงความเสี่ยงด้าน การละเมิดกฎระเบียบ เกี่ยวกับการปกป้องข้อมูล (เช่น GDPR หรือ PDPA)

Mitigation

Google ได้ออกคำแถลงว่า จะดำเนินการลบส่วนขยายที่ละเมิดนโยบายและอาจปรับปรุงกระบวนการตรวจสอบของ Chrome Web Store เพื่อป้องกันการปล่อยซอฟต์แวร์ปลอมในอนาคต ผู้ใช้ควรทำตามขั้นตอนต่อไปนี้เพื่อปกป้องตัวเอง

• ตรวจสอบผู้พัฒนา (developer) ของส่วนขยายและดูว่ามีการยืนยันบัญชีหรือไม่
• หลีกเลี่ยงการติดตั้งส่วนขยายที่อ้างว่าเป็น VPN ฟรีโดยไม่มีรีวิวหรือดาวน์โหลดจากแหล่งที่เชื่อถือได้
• หากสงสัยว่าติดตั้งแล้ว ให้ลบส่วนขยายทันทีและตรวจสอบการตั้งค่า proxy ของเบราว์เซอร์

องค์กรควรกำหนดนโยบายห้ามติดตั้งส่วนขยายที่ไม่ได้รับอนุมัติจากทีม IT และใช้เครื่องมือจัดการซอฟต์แวร์เพื่อสแกนหา extensions ที่ไม่เป็นมาตรฐาน

Industry Response

ผู้ให้บริการ VPN ชั้นนำหลายรายได้ออกประกาศเตือนลูกค้าว่า ไม่มีส่วนใด ของพวกเขาที่อยู่ใน Chrome Web Store นี้และขอให้ผู้ใช้ตรวจสอบชื่อผู้พัฒนาอย่างละเอียด นอกจากนี้ สถาบันความปลอดภัยไซเบอร์ระดับโลกยังเริ่มทำการวิจัยต่อเนื่องเกี่ยวกับกลไกของการสร้างส่วนขยายปลอมเพื่อเสนอแนวทางแก้ไขให้กับแพลตฟอร์มอีโคซิสเต็ม

Summary

การพบ 737 ส่วนขยาย VPN ปลอมบน Chrome Web Store แสดงถึงช่องโหว่ในการตรวจสอบแอปพลิเคชันของตลาดส่วนขยาย และทำให้ผู้ใช้เผชิญความเสี่ยงด้านข้อมูลส่วนบุคคลอย่างรุนแรง ผู้ใช้งานและองค์กรควรระมัดระวังการติดตั้งจากแหล่งที่ไม่เชื่อถือได้ พร้อมตรวจสอบการตั้งค่า proxy อย่างสม่ำเสมอ.