Forscher haben im Chrome Web Store eine große Zahl von kostenlosen VPN- und Proxy-Erweiterungen identifiziert: Insgesamt geht es um 737 VPN- und Proxy-Erweiterungen, die vor allem russischsprachige Nutzer ansprechen. Ziel ist nicht nur der vermeintliche Zugriff auf blockierte Inhalte, sondern offenbar auch das gezielte Umleiten und Beobachten von Browserdaten über Proxy-Infrastruktur.
Was besonders kritisch ist: Viele dieser Add-ons konfigurieren Proxies so, dass praktisch die gesamte Browsersitzung durch Systeme der Angreifer läuft. Gleichzeitig werden häufig bekannte VPN- und Privacy-Marken nachgeahmt, um Vertrauen zu erzeugen.
Wie die 737 VPN- und Proxy-Erweiterungen Daten umleiten
Nach den vorliegenden Erkenntnissen setzen die meisten betroffenen Erweiterungen auf eine zentrale Proxy-Konfiguration. Konkret wird in den Paketen eine Browser-Einstellung genutzt, um einen festen SOCKS5-Server auf einem bestimmten Port anzusprechen. Sobald der Nutzer sich mit dem „VPN-Dienst“ verbindet, läuft der Datenverkehr über diese Leitung.
Damit geraten betroffene Nutzer in eine Lage, die Sicherheitsforscher als Adversary-in-the-middle (AitM) beschreiben. In dieser Position können Angreifer unter anderem beobachten, wohin der Browser navigiert, welche Quell-IP-Adresse genutzt wird und bestimmte Teile der Verbindung auslesen. Auch Informationen, die über unverschlüsseltes HTTP übertragen werden, können betroffen sein.
Bypass-Listen: Nur Localhost wird ausgelassen
Ein weiterer Hinweis auf die gezielte Datenlenkung: Jede Erweiterung, die einen Proxy einrichtet, enthält eine „Bypass“-Liste. Diese umfasst jedoch nur Loopback-Adressen wie localhost bzw. 127.0.0.1. Alle anderen Browseranfragen werden daher weiterhin durch den SOCKS5-Relay auf dem genannten Port geleitet.
Imitation statt Eigenname: Warum bekannte VPN-Marken auftauchen
Besonders auffällig ist die Art, wie viele Erweiterungen Vertrauen herstellen. Laut den Ermittlungen impersonieren bestimmte Add-ons etablierte VPN- und Privacy-Anbieter. Dazu gehören unter anderem Namen wie Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear sowie Cloudflare-assoziierte Dienste (z. B. 1.1.1.1) und Googles Outline.
Die Kernidee dahinter: Die Funktionalität ist im Idealfall zwar vergleichbar mit einem legitimen VPN oder Proxy. Der entscheidende Unterschied ist jedoch, dass die Erweiterungen die Konfiguration der Proxy-Umleitung nicht transparent offenlegen und stattdessen bekannte Marken als Tarnung verwenden.
In den Paketen zeigen sich zudem Hinweise auf eine gezielte Umgehungsstrategie gegen Richtlinien im Chrome Web Store, einschließlich Kommentaren und Mechanismen, die nach einer erfolgreichen Freigabe später angepasst werden können.
Geprüfte Reichweite: Installationen und Verteilung auf Konten
Die betroffenen Erweiterungen wurden über mindestens 40 verschiedene Chrome Web Store Entwicklerkonten veröffentlicht. In Summe kamen die Add-ons auf 75.486 Installationen—eine beachtliche Größenordnung für kostenlose Angebote.
Im identifizierten Korpus wurden zudem zahlreiche Erweiterungen entdeckt, die dieselbe SOCKS5-Infrastruktur für den Datenverkehr nutzen. Damit entsteht der Eindruck, dass hinter vielen dieser scheinbar unabhängigen Tools ein gemeinsames Setup steht.
Entfernt und dennoch aktiv: Was aktuell im Store zu sehen ist
Ein Teil der Erweiterungen wurde inzwischen aus dem Chrome Web Store entfernt. Gleichzeitig blieben laut den Berichten 516 Erweiterungen als aktiv gelistet. Insgesamt wurden 221 Add-ons entfernt, während die übrigen weiterhin verfügbar sein sollen.
Das Muster zeigt: Selbst wenn einzelne Erweiterungen offline genommen werden, können ähnliche oder verwandte Varianten wieder auftauchen oder nach kurzer Zeit über andere Wege zurückkommen.
„Premium“-Versprechen, Fake-Verhalten und weitere Warnsignale
Nicht jede Auffälligkeit ist nur technische Natur. Mehrere Indikatoren deuten darauf hin, dass viele der Erweiterungen gezielt irreführen.
- Werbung für bezahlte Stufen oder „Premium“-Platzierungen, die angeblich existieren, aber nicht verlässlich erreichbar sind.
- Umgehungstechniken rund um DNS-over-HTTPS-Blocklisten.
- Fehlgeschlagene Verbindungsversuche, die gleichzeitig eine vollständig gefälschte Oberfläche anzeigen—inklusive funktionierend wirkender Animationen und Statusanzeigen.
- Interne Anleitungen, die Nutzer bzw. Teammitglieder darauf hinweisen, bestimmte Domains nicht direkt in Proxy-Einstellungen einzutragen, sondern stattdessen nur aufgelöste IPs zu verwenden.
- Manipulation nach Freigabe: Nach der Genehmigung kann eine zusätzliche Remote-Konfigurationsebene hinzugefügt werden.
- Abgestimmte Antworten im Review-Prozess: wiederkehrende Begründungen wie „Keine Daten werden an externe Server übertragen“ oder „Kein Tracking oder Logging von Nutzern“.
Gerade die Kombination aus Imitation, Proxy-Umleitung und widersprüchlichen Aussagen gegenüber Plattformprüfern erhöht das Risiko für Nutzer deutlich.
Nachgebessert und neu verpackt: Bericht über ein weiteres Chrome-Add-on
Neben der großen VPN-/Proxy-Welle wurde auch eine separate Entwicklung hervorgehoben: Laut Berichten taucht ein zuvor entferntes Chrome-Erweiterungsprojekt wieder auf, diesmal mit einer geänderten Monetarisierungslogik.
Es geht um eine Erweiterung mit Bezug auf eine „AI Sidebar“ (genannt im Kontext von Deepseek, ChatGPT, Claude und mehr). Sie war Monate zuvor entfernt worden, weil sie in Verbindung mit „Prompt Poaching“ gebracht wurde. Nun folgte offenbar eine Folge von Updates, bei denen zunächst ein „sauberes“ Paket veröffentlicht wurde, danach aber wieder eine andere Variante nachgeschoben wurde.
Während in der neuen Version offenbar kein Code enthalten sein soll, der Gespräche abgreift, enthält sie stattdessen eine Monetarisierungskomponente. Diese öffnet bei Update und Deinstallation jedes Mal einen Affiliate-Link in einem Vordergrund-Tab. Zusätzlich wird laut Bericht das Weiterleiten bestimmter Nutzer von Deepseek zu ChatGPT unterdrückt.
Was Sie jetzt tun sollten: Chrome-Erweiterungen prüfen
Wenn Sie VPN- oder Proxy-Erweiterungen installiert haben, lohnt sich ein schneller Check. Achten Sie dabei vor allem auf den Zweck und die Transparenz der App: Wird nur eine Oberfläche angeboten, während die technische Datenleitung nicht nachvollziehbar erklärt wird? Nutzen Sie erkennbar eine Marke, deren Namen die Erweiterung „wie ein offizieller Dienst“ wirken lässt?
Praktisch können Sie bei Bedarf folgendermaßen vorgehen:
- Rechts oben in Chrome prüfen, welche Erweiterungen aktiv sind.
- Unbekannte oder kopierte Namen besonders kritisch betrachten, insbesondere wenn sie „wie“ bekannte Anbieter klingen.
- Bereitgestellte Funktionen testen: Wenn Verbindungen scheitern und die Oberfläche dennoch „funktioniert“, ist das ein starkes Warnsignal.
- Entfernen Sie Erweiterungen, bei denen Sie den Anbieter nicht verlässlich einordnen können.
Je schneller Sie handeln, desto geringer ist die Zeit, in der Daten über fremde Proxy-Infrastruktur laufen können.
Fazit: Vorsicht bei kostenlosen VPN- und Proxy-Add-ons
Die Meldung zu 737 VPN- und Proxy-Erweiterungen zeigt, wie aggressiv manche Akteure im Browser-Kontext vorgehen. Viele der betroffenen Add-ons lenken den gesamten Sitzungsverkehr über fest konfigurierte SOCKS5-Server um und können dadurch Nutzerdaten in einer AitM-ähnlichen Position sichtbar machen. Dazu kommt das Spiel mit Markenimitation und gefälschten Premium- oder UI-Elementen.
Wenn Sie VPN-ähnliche Funktionen im Browser nutzen möchten, setzen Sie möglichst auf nachvollziehbare Quellen, prüfen Sie aktive Erweiterungen regelmäßig und entfernen Sie Add-ons, deren Verhalten nicht zu den Versprechen passt.
Quelle: https://thehackernews.com/2026/08/737-chrome-vpn-extensions-caught.html
