Cybercriminelen hebben een grote set Chrome VPN extensies ontdekt die niet alleen “censuur omzeilen” beloven, maar in de praktijk vooral browserverkeer omleiden via proxies die ze zelf beheren. In totaal gaat het om 737 gratis VPN- en proxy-add-ons, verspreid over tientallen ontwikkelaarsaccounts in de Chrome Web Store. Het doel: internetverkeer onderscheppen en omleiden, waardoor aanvallers bestemmingen, herkomst en (bij HTTP) inhoud kunnen zien.
Het probleem is extra hardnekkig omdat veel extensies zich voordoen als bekende privacymerken. Denk aan namen als Proton VPN, NordVPN, Surfshark en ExpressVPN—terwijl de werkelijke proxy-instellingen en monetisatiepraktijken niet kloppen of verborgen blijven.
Wat er is ontdekt: 737 Chrome VPN- en proxy-extensies
Onderzoekers rapporteerden dat de add-ons samen 75.486 installaties verzamelden. De extensies zijn gepubliceerd via minstens 40 Chrome Web Store developer accounts. Van een geïdentificeerde set zijn er 274 extensies gezien die 66 bestaande VPN- en privacymerken nabootsen.
Die merk-nabootsing is belangrijk: het maakt het voor gebruikers lastiger om door te hebben dat ze geen legitieme dienst installeren. Bovendien lijkt de functionaliteit van veel van deze extensies “VPN-achtig”, terwijl het verkeer in werkelijkheid via één specifieke proxy-infrastructuur loopt.
Omleiding via SOCKS5: waarom dit zo gevaarlijk is
De kern van de aanval draait om proxy-routing. Behalve dat de extensies het internetverkeer omleiden, plaatsen ze zichzelf volgens de onderzoekers in een positie die lijkt op adversary-in-the-middle (AitM). Daardoor kan een aanvaller onder andere meekijken naar browserbestemmingen en informatie die wordt blootgelegd tijdens verbindingen.
In het bijzonder routeert een groot deel van de extensies de volledige browsersessie via SOCKS5-proxy’s. In het bulkonderzoek werd gemeld dat 520 van de 522 extensies in de dataset dezelfde SOCKS5-infrastructuur gebruiken.
Daarnaast wijzen de onderzoekers op proxyconfiguratie via de Chrome-instellingen. Het gaat om het vastzetten van proxygegevens, waardoor vrijwel al het verkeer door de relay gaat zodra de gebruiker verbinding maakt met de “VPN”. In veel gevallen bevat elke extensie bovendien een bypasslijst die vrijwel uitsluitend loopback-adressen omvat. Dat betekent: behalve lokale requests, gaat de rest via de proxy.
Welke gegevens kan een aanvaller dan zien?
Zodra alle requests door een proxy van de aanvaller lopen, kan die infrastructuur in elk geval waarnemen waar je naartoe gaat en vanaf welk IP-adres je verkeer afkomstig is. Verder wordt genoemd dat er ook informatie over TLS SNI-waarden kan lekken. En voor verzoeken via plain HTTP kan bovendien de requestbody zichtbaar zijn, omdat die niet versleuteld is.
Voor bedrijven en thuisgebruikers betekent dit: een “VPN-achtig” tooltje in je browser is niet automatisch privacybescherming, maar kan juist een kanaal naar onderschepping worden.
Merkimitatie als kernmechanisme
Een van de meest opvallende bevindingen is dat de extensies niet onder hun eigen naam werken, maar bekende merken nabootsen. De extensies worden daarmee gepresenteerd als vertrouwde privacyproducten, terwijl de achterliggende proxy-instellingen en het verdienmodel niet transparant zijn.
De onderzoekers koppelden de set extensies aan een advertentie- en abonnementsmodel, waaronder signalen van betaalde tiers of “premium locaties” die niet zouden bestaan. Ook worden er red flags genoemd rond het omzeilen van blokkades—bijvoorbeeld via omleiding van DNS-over-HTTPS blocklists.
Daarnaast viel op dat sommige extensies faalden in verbinding, maar wel een volledig nep-scherm tonen: met een werkende animatie en statusindicator. Dat patroon maakt het voor gebruikers lastig om direct te zien dat er iets mis is.
Code en gedrag: extra signalen van manipulatie
Naast de proxy-routing noemden onderzoekers nog meerdere aanwijzingen dat de extensies niet alleen “VPN-doorstuurders” zijn, maar doelbewust op misleiding en policy-omzeiling zijn ingericht.
- Onlogische interne documentatie: in sommige pakketten staat een interne handleiding met instructies om domeinen niet direct in proxy-instellingen te zetten, maar enkel de opgeloste IP-adressen te gebruiken.
- Probeer om Chrome Web Store-regels te ontwijken: er zijn opmerkingen gevonden die wijzen op bewuste pogingen om controles te passeren.
- Wijzigingen na goedkeuring: na goedkeuring zou een extra “remote configuration”-laag zijn toegevoegd, waardoor de code later toch nog aangepast kan worden.
- Herhaalde of identieke verklaringen: submissions bij de reviewfase bevatten vergelijkbare teksten zoals “no data transmitted” of “no user tracking or logging”, terwijl de echte werking uit proxy-omleiding bestond.
Ook is er een technische route beschreven die aantoont dat de daadwerkelijke proxyconfiguratie verborgen blijft en pas actief wordt zodra de extensie draait. Voor gebruikers betekent dit: zelfs wanneer een extensie in eerste instantie “onschuldig” lijkt, kan het gedrag later toch veranderen.
Verwijderd of nog actief: wat betekent dat voor jou?
Niet alles is hetzelfde: onderzoekers meldden dat er zoveel mogelijk add-ons zijn verwijderd uit de Chrome Web Store—maar dat er ook nog extensies actief zijn. In dezelfde rapportage staat dat 221 browser add-ons zijn verwijderd, terwijl 516 extensies nog als actief zijn gelijst.
Dat is een belangrijk praktisch punt. Zelfs als je denkt dat de store “wel controleert”, kan een deel van de risicovolle software nog beschikbaar zijn of later opnieuw opduiken met gewijzigde versies.
Terugkerende extensie: schone update gevolgd door gemonetiseerde variant
Naast de grote set VPN- en proxy-extensies was er ook aandacht voor een specifieke extensie die na verwijdering terugkeerde. Nemen we dit mee in dezelfde veiligheidslijn, dan zie je opnieuw een patroon: eerst verwijderen/onschuldig maken, daarna weer een nieuwe update met een ander doel.
Netskope Threat Labs beschreef de terugkeer van een extensie met de naam “AI Sidebar with Deepseek, ChatGPT, Claude, and more”, die eerder was verwijderd vanwege prompt-poaching-tactieken. Volgens de rapportage gebeurde de terugkeer via versies die via het CRX-netwerk van Google verspreid werden. De updates werden gekoppeld aan een scenario waarbij na twee weken opnieuw werd “ingegrepen”.
De eerste stap zou een omvorming zijn: een update die code voor het stelen van gesprekken verwijdert en erkent dat het verkeerd was. Daarna volgde opnieuw een update waarin niet het diefstalcomponent terugkwam, maar een monetisatiepayload werd toegevoegd.
Concreet ging het om een kleine toevoeging die bij extension updates en uninstalls telkens een affiliatelink in een voorgrondtab opent. In dezelfde beschrijving staat ook dat de update DeepSeek-gebruikers zou onderdrukken in de doorverwijzing naar ChatGPT.
Ook al gaat dit voorbeeld niet over VPN-routing, het laat wel dezelfde waarschuwing zien: wat gebruikers “zien” na installatie is niet altijd wat er later gebeurt.
Wat kun je nu doen om jezelf te beschermen?
Je hoeft niet te wachten op een volgend rapport. Met een paar checks kun je de kans op risico aanzienlijk verkleinen—zeker als je vaak gratis VPN-tools gebruikt in de browser.
- Controleer je Chrome-extensieslijst en kijk of je add-ons hebt die VPN, proxy of “censuur omzeilen” beloven.
- Let op merkimitatie: als een extensie een bekend merknaam gebruikt maar geen duidelijke, legitieme herkomst heeft, behandel het als verdacht.
- Bekijk of de extensie zich “fix” gedraagt: nepstatussen, verbinding die nooit lukt, maar wel een interface toont, zijn sterke rode vlaggen.
- Schakel extensies uit of verwijder ze als je twijfelt, en start je browser opnieuw.
- Gebruik een aanvullend beveiligingslaagje (bijvoorbeeld endpoint- of browserbeveiliging) om verdachte netwerkgedragingen te detecteren.
Door extensies kritisch te bekijken, voorkom je dat je browser een doorgang wordt voor proxyverkeer dat door derden wordt beheerd.
Conclusie: wees kritisch met Chrome VPN extensies
De ontdekking van 737 Chrome VPN extensies maakt één boodschap extra duidelijk: een VPN-beloftes in een browserextensie hoeft niet te betekenen dat je data beter beschermd is. In dit geval routeerden aanvallers browsersessies via SOCKS5-proxies, waarbij ze zich bovendien in een positie zetten om verkeer en metadata te observeren.
Controleer daarom je extensies, verwijder twijfelachtige add-ons en wees extra alert op merkimitatie en gedrag dat niet klopt. Het loont—want met browserextensies kun je jezelf ongemerkt blootstellen aan verkeer dat juist versleutelde privacy zou moeten beschermen.
Gerelateerd lezen: als je ook interesse hebt in hoe aanvallers via online diensten gebruikers misleiden, bekijk dan WhatsApp scam alert: waarschuwingen op je toestel voor herkenbare patronen bij social engineering.
Bron: https://thehackernews.com/2026/08/737-chrome-vpn-extensions-caught.html
