737 Chrome-VPN-Erweiterungen leiten Browserverkehr um : Gefälschte VPN-Add-ons leiteten komplette Browsersitzungen über kontrollierte SOCKS5-Server
Hunderte vermeintliche VPN- und Proxy-Erweiterungen für Chrome haben den gesamten Browserverkehr ihrer Nutzer über eine gemeinsame Proxy-Infrastruktur geleitet. Viele Add-ons imitierten bekannte VPN-Marken, täuschten Funktionen vor und versuchten offenbar gezielt, die Prüfmechanismen des Chrome Web Store zu umgehen.
Das Wichtigste in Kürze
- Eine Analyse von Socket identifizierte 737 kostenlose Chrome-VPN- und Proxy-Erweiterungen, die den Browserverkehr über eine gemeinsame SOCKS5-Infrastruktur auf Port 1082 leiteten. Betroffen waren insgesamt 75.486 angezeigte Installationen.
- 274 Add-ons imitierten 66 bekannte VPN- und Datenschutzmarken. Nutzer und Unternehmen sollten installierte Erweiterungen, Proxy-Einstellungen und spätere Updates jetzt gezielt prüfen.
Nach einer Analyse von Socket umfasst die Kampagne 737 kostenlose VPN- und Proxy-Erweiterungen mit insgesamt 75.486 Installationen. Die Add-ons wurden über mindestens 40 Entwicklerkonten im Chrome Web Store verbreitet. Sie richteten sich laut den Analysen vor allem an russischsprachige Nutzer, insbesondere an Personen, die Sperren von Diensten wie Instagram, YouTube oder ChatGPT umgehen wollten. Auch russischsprachige Personen in Deutschland oder anderen Ländern könnten solche Erweiterungen installiert haben.
Besonders auffällig: 274 Erweiterungen gaben sich als Produkte von 66 bekannten VPN- und Datenschutzanbietern aus. Dazu zählten unter anderem Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear sowie Cloudflares 1.1.1.1 und Googles Outline.
737 Chrome-Erweiterungen nutzten dieselbe Proxy-Infrastruktur
Technisch nutzen die Erweiterungen die Chrome-Schnittstelle chrome.proxy.settings, um einen festen SOCKS5-Proxy auf Port 1082 einzutragen. Von 522 genauer untersuchten Erweiterungen schickten laut Socket 520 den Browserverkehr über dieselbe SOCKS5-Infrastruktur.
Damit wird der Proxy-Betreiber zum Vermittler zwischen Browser und Zielserver. Sicherheitsexperte Kush Pandya beschreibt die Konsequenz deutlich: „Solange die Erweiterung verbunden ist, läuft bei jedem betroffenen Nutzer jede Anfrage über einen Server, den der Angreifer kontrolliert.“
Die Erweiterungen konfigurieren zudem eine Ausnahmeliste, die lediglich lokale Loopback-Adressen wie localhost beziehungsweise 127.0.0.1 enthält. Praktisch sämtliche anderen Browseranfragen werden damit über den fremden Proxy geleitet.
Das ermöglicht dem Betreiber unter anderem den Einblick in aufgerufene Zieladressen, Quell-IP-Adressen und TLS-SNI-Informationen. Inhalte verschlüsselter HTTPS-Verbindungen lassen sich dadurch nicht automatisch entschlüsseln. Unverschlüsselte HTTP-Anfragen einschließlich übertragener Daten können jedoch direkt eingesehen werden.
Täuschend echte VPN-Angebote
Die reine Proxy-Funktion unterscheidet sich technisch zunächst nicht grundsätzlich von einem legitimen VPN- oder Proxy-Dienst. Problematisch ist vor allem, dass zahlreiche Erweiterungen bekannte Marken kopierten und die tatsächliche Infrastruktur gegenüber Nutzern und Store-Prüfern verschleierten.
Socket nennt mehrere weitere Warnsignale:
- Werbung für kostenpflichtige Tarife oder Premium-Standorte, die tatsächlich nicht existieren
- Umgehung von DNS-over-HTTPS-Blocklisten
- Fehlschlag sämtlicher Verbindungsversuche bei gleichzeitig vollständig vorgetäuschter Benutzeroberfläche, inklusive Verbindungsanimation und Statusanzeige
- Ein internes Handbuch mit dem Titel „Промт для сотрудников“ („Prompt für Mitarbeiter“), das unter anderem empfiehlt, in chrome.proxy.settings nicht den Domainnamen, sondern nur dessen aufgelöste IP-Adresse einzutragen
- Kommentare im Programmcode, die auf eine bewusste Umgehung der Richtlinien des Chrome Web Store hindeuten
- Nachträgliche Ergänzung einer Remote-Konfigurationsschicht nach Freigabe der Erweiterung
- Identische Erklärungen gegenüber Store-Prüfern, darunter Aussagen wie „Keine Datenübertragung an externe Server“ oder „Kein Tracking oder Logging“
Pandya zufolge lässt sich aus dem Erweiterungscode nicht zweifelsfrei feststellen, ob die Betreiber die eingesetzten Proxy-Server selbst kontrollieren oder lediglich Infrastruktur eines anderen Anbieters weiterverkaufen. Im zweiten Fall könnte zusätzlich ein weiterer Betreiber Zugriff auf die weitergeleiteten Verbindungsdaten haben.
Hinweise auf einen russischen Betreiber
221 der identifizierten Erweiterungen wurden inzwischen aus dem Chrome Web Store entfernt, 516 waren zum Zeitpunkt der Untersuchung weiterhin aktiv. Hinweise im Code deuten darauf hin, dass hinter der Infrastruktur ein russischer Anbieter eines kostenpflichtigen VPN-Dienstes stehen könnte.
Dazu zählen eine zwölfstellige russische Steueridentifikationsnummer sowie versehentlich veröffentlichte Windows-Pfade aus der Entwicklungsumgebung. Solche Artefakte zeigen unter anderem russischsprachige Verzeichnisnamen und interne Projektstrukturen.
Socket sieht vor allem die Kombination aus Markenimitaten, verschleierter Proxy-Konfiguration, erfundenen Premium-Servern, falschen Angaben gegenüber Store-Prüfern und nachträglich ausgetauschtem Code als Beleg für systematische Täuschung.
Gelöschte KI-Erweiterung kehrt mit neuer Funktion zurück
Parallel dazu meldete Netskope Threat Labs die Rückkehr einer bereits zuvor auffälligen Chrome-Erweiterung namens „AI Sidebar with Deepseek, ChatGPT, Claude, and more.“ Das Add-on war zunächst wegen sogenannter Prompt-Poaching-Techniken entfernt worden, bei denen Inhalte aus KI-Konversationen abgegriffen wurden.
Am 31. Juli 2026 verteilte Google über sein System für Chrome-Erweiterungen zwei neue Versionen des Add-ons. Mit Version 1.7.2.0 entfernten die Entwickler zunächst den zuvor beanstandeten Code und räumten das Fehlverhalten ein. Rund zwei Wochen später änderten sie die Erweiterung jedoch erneut und bauten mit Version 1.7.3.0 eine neue Monetarisierungsfunktion ein.
Dafür genügten lediglich 21 zusätzliche Codezeilen. Sie sorgen dafür, dass bei jedem Update und auch beim Entfernen der Erweiterung automatisch ein Affiliate-Link in einem sichtbaren Browser-Tab geöffnet wird. Über solche Links können die Betreiber Provisionen erhalten. Außerdem unterbindet der neue Code offenbar eine Weiterleitung von DeepSeek-Nutzern zu ChatGPT.
Netskope fasst das Vorgehen so zusammen: Die Erweiterung habe zunächst ein sauberes Update veröffentlicht und das frühere Fehlverhalten eingeräumt, „zwei Wochen später aber erneut den Teppich unter den Nutzern weggezogen“.
Beide Fälle verdeutlichen ein grundsätzliches Risiko von Browser-Erweiterungen: Selbst ein zunächst unauffälliges Add-on kann durch spätere Updates neue Funktionen erhalten. Besonders kritisch sind Erweiterungen mit weitreichenden Berechtigungen für Netzwerkverkehr, Proxy-Einstellungen oder Webseiteninhalte. Unternehmen sollten deshalb installierte Browser-Erweiterungen inventarisieren, Berechtigungen prüfen und nicht benötigte Add-ons konsequent entfernen.
FAQ: Wie Unternehmen Chrome-Erweiterungen absichern
Hinweis: Die technischen Befunde in dieser FAQ stammen aus den Analysen von Socket und Netskope.
Sind alle Chrome-VPN-Erweiterungen ein Sicherheitsrisiko?
Nein. Die Berechtigung für Proxy-Einstellungen kann bei legitimen VPN- und Proxy-Diensten technisch erforderlich sein. Für die Risikobewertung zählt die Kombination aus Berechtigungsumfang, Anbieteridentität, Markenimitation, Zielinfrastruktur, Datenschutzangaben und dem Verhalten späterer Updates.
Warum ist die Berechtigung proxy für Unternehmen besonders kritisch?
Sie kann den gesamten Browserverkehr über einen vom Erweiterungsanbieter beziehungsweise Betreiber festgelegten Server leiten. Im untersuchten Fall konfigurierten 520 von 522 analysierten Erweiterungen eine gemeinsame SOCKS5-Infrastruktur auf Port 1082. Unternehmen sollten Erweiterungen mit proxy deshalb wie netzwerknahe Software behandeln und nicht wie gewöhnliche Produktivitäts-Add-ons.
Welche Daten kann eine manipulierte Proxy-Erweiterung offenlegen?
Der Proxybetreiber kann Zieladressen, Quell-IP-Adressen und TLS-SNI-Informationen sehen. Inhalte von HTTPS-Verbindungen sind nicht automatisch lesbar. Unverschlüsselte HTTP-Anfragen einschließlich ihrer übertragenen Daten können jedoch direkt eingesehen werden. Für die Bewertung sind daher auch exponierte Konten, Zeiträume und verwendete Anwendungen zu erfassen.
Wie können Security-Teams verdächtige Erweiterungen erkennen?
Zuerst sollte ein vollständiges Inventar aller installierten Erweiterungen mit ID, Version, Publisher, Berechtigungen und Installationsquelle erstellt werden. Besonders relevant sind Erweiterungen mit proxy-Berechtigung, Änderungen an chrome.proxy.settings, festen SOCKS5-Zielen auf Port 1082 und DNS-over-HTTPS-Aufrufen zu Proxy-Hostnamen. Die Prüfung sollte auch Force-Install- und Allowlist-Richtlinien umfassen.
Welche Sofortmaßnahmen sind bei einem Treffer erforderlich?
Die betroffene Erweiterung sollte zentral blockiert und von verwalteten Browsern entfernt werden. Danach sollten Proxy-Einstellungen, Browserrichtlinien und Netzwerkverbindungen geprüft werden. Zugangsdaten, die während einer möglichen Umleitung über unverschlüsselte HTTP-Seiten verwendet wurden, sollten zurückgesetzt werden. Zusätzlich ist eine forensische Prüfung von Logs auf betroffene Benutzer, Endgeräte, Zeiträume und verdächtige Zielsysteme sinnvoll.
Wie sollten Unternehmen Updates von Browser-Erweiterungen kontrollieren?
Browser-Erweiterungen sind als Software-Lieferkette zu behandeln: Installationen sollten standardmäßig blockiert und nur nach einer dokumentierten Freigabe erlaubt werden. Jede neue Version benötigt eine erneute Risiko- und Berechtigungsprüfung. Ein unauffälliger Vorgänger ist kein Sicherheitsnachweis für das nächste Update, weil Betreiber Funktionen nachträglich austauschen oder ergänzen können.