Une nouvelle vague d’extensions VPN Chrome inquiète la communauté sécurité. Selon des observations rapportées par des chercheurs, pas moins de 737 extensions gratuites auraient été publiées pour détourner le trafic navigateur, afin de l’acheminer via une infrastructure proxy contrôlée ou exploitée par des acteurs malveillants.
Le point le plus préoccupant n’est pas seulement la redirection : plusieurs extensions imitent des marques connues de VPN ou de confidentialité. Résultat, des utilisateurs peuvent croire utiliser un service légitime alors que leur session complète est examinée au passage.
737 extensions VPN Chrome : ce qui a été observé
Les analyses indiquent que ces extensions ciblent principalement des utilisateurs francophones et surtout russophones cherchant à accéder à des services bloqués. L’objectif décrit est de router le trafic du navigateur à travers des proxys, dans un but d’interception.
Les extensions auraient été mises en ligne sur le Chrome Web Store via au moins 40 comptes développeur, avec un total rapporté de 75 486 installations pour la période ou l’ensemble identifié. Parmi celles repérées, une partie imite des marques établies.
Dans les cas identifiés, 274 extensions ont été associées à une usurpation de l’apparence de 66 marques de VPN ou de protection de la vie privée. Parmi les noms cités figurent Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear, ainsi que des services comme Cloudflare 1.1.1.1 et Google Outline.
Une redirection globale de la session navigateur
Le fonctionnement observé se distingue par sa portée. Les extensions ne se contentent pas d’un filtrage partiel : elles auraient configuré le navigateur pour acheminer toute la session par des proxys SOCKS5.
Un chercheur cité explique que ces extensions « routent » l’intégralité de la session via des proxys SOCKS5 opérés par un unique prestataire. Plus précisément, une large majorité de l’échantillon mentionné (520 sur 522 dans le corpus) utiliserait la même infrastructure SOCKS5.
Sur le plan technique, les extensions configurent souvent les paramètres du navigateur via chrome.proxy.settings en pointant vers un serveur SOCKS5 fixe, sur le port 1082. Cette méthode place l’adversaire dans une position dite adversary-in-the-middle, c’est-à-dire au milieu du flux, ce qui peut lui permettre d’observer :
- les destinations consultées par le navigateur ;
- les adresses IP source ;
- des éléments liés à TLS (comme la valeur TLS SNI) ;
- et, lorsque des requêtes passent en HTTP sans chiffrement applicatif, le contenu de la requête.
Listes d’exclusion et “basculement” vers le proxy
Un autre détail important concerne la liste dite de bypass (exclusions) associée à la configuration proxy. Les analyses indiquent que cette liste ne contiendrait essentiellement que des adresses de boucle locale : localhost et 127.0.0.1.
Concrètement, cela signifie que tout le reste des requêtes navigateur est dirigé vers le relais SOCKS5 une fois l’utilisateur connecté au “service VPN” annoncé par l’extension. Autrement dit, l’architecture ne ressemble pas à un simple proxy à la demande : elle ressemble plutôt à un détour permanent de session.
Suppression du magasin et extensions encore actives
Les rapports mentionnent que 221 extensions ont été retirées du Chrome Web Store, tandis que 516 seraient restées visibles ou actives à la date de l’observation.
Cette coexistence de contenus retirés et d’autres encore disponibles souligne un risque pratique pour les internautes : même si une partie est supprimée, d’autres copies peuvent rester disponibles plus longtemps.
Usurpation de marques : pourquoi c’est un signal d’alarme
L’un des éléments qui rend l’affaire particulièrement critique, c’est la stratégie d’usurpation. Le rapport précise que l’extension ne propose pas simplement un service sous sa propre identité : elle adopte plutôt l’image et la marque d’acteurs déjà connus.
Cette approche vise probablement à augmenter la confiance et à masquer l’origine réelle de la configuration. Le chercheur cité insiste sur le fait que la différence centrale ne serait pas seulement la fonctionnalité “VPN/proxy”, mais la volonté d’imiter des marques établies plutôt que d’opérer sous un nom clair.
Autres signaux rouges repérés dans les extensions
Au-delà de la configuration proxy, plusieurs indicateurs ont été relevés. Voici les principaux exemples mentionnés dans les analyses :
- Offres payantes fantômes : des paliers d’abonnement ou emplacements premium annoncés mais qui n’existent pas réellement.
- Contournement de listes liées au DNS-over-HTTPS : l’objectif serait d’éviter certains blocages en jouant sur des mécanismes DNS.
- Échec systématique des connexions tout en affichant une interface complète et trompeuse : animation et indicateurs de statut semblent “fonctionner”, même si la connexion ne réussit pas.
- Documents internes livrés avec l’extension, notamment un manuel (“Промт для сотрудников”, traduit en “Prompt for employees”) qui recommande de ne pas renseigner directement un domaine dans chrome.proxy.settings, mais d’utiliser seulement une adresse IP résolue, et de se méfier de la réutilisation de domaines d’autres extensions sans instructions séparées.
- Commentaires laissant penser à une volonté d’éviter les règles du Chrome Web Store.
- Ajout d’une couche de configuration à distance après l’approbation : autrement dit, le code peut évoluer après validation.
- Tentatives d’optimiser la revue : des soumissions répétées avec des arguments identiques du type “Aucune donnée transmise aux serveurs externes” ou “Aucun suivi ni journalisation des utilisateurs”.
Le lien avec une activité de “VPN par abonnement”
Les chercheurs indiquent également une hypothèse sur l’organisation derrière cette campagne. D’après les éléments observés (notamment un identifiant fiscal à 12 chiffres et la fuite d’un chemin de build Windows dans certains cas), il serait possible que le groupe opère un modèle de VPN par abonnement en Russie.
Le rapport mentionne, par exemple, la présence d’un chemin qui pourrait être exposé dans l’assemblage applicatif d’une extension : C: rameworks iltrationseaucoup (le rapport cite un chemin de type “C:\\Users\…\OneDrive\…”). L’idée n’est pas que ce chemin suffise à prouver l’identité exacte, mais plutôt qu’il s’agit d’un indice technique parfois involontaire.
Que faire si vous avez installé une extension suspecte ?
Si vous utilisez des extensions VPN Chrome, voici des actions concrètes pour réduire le risque :
- Vérifiez la liste des extensions actives dans Chrome et désinstallez celles que vous ne reconnaissez pas.
- Contrôlez l’éditeur : une usurpation de marque peut aussi s’accompagner d’informations incohérentes côté développeur.
- Méfiez-vous des annonces “premium” ou “paliers” introuvables dans l’interface réelle.
- Observez le comportement : une extension qui “connecte” visuellement sans établir de vraie connexion doit être considérée comme suspecte.
- Révoquez l’autopilot : si une extension met à jour des composants à distance, il est préférable de la supprimer plutôt que de “tester”.
En cas de doute, la meilleure stratégie reste simple : retirez l’extension et évitez de vous connecter à des services sensibles depuis un navigateur potentiellement compromis.
Une extension “revendue” après retrait
Le rapport mentionne aussi un second cas : le retour d’une extension Chrome portant le nom “AI Sidebar with Deepseek, ChatGPT, Claude, and more”. Cette extension aurait été retirée auparavant pour des tactiques de type “prompt poaching”, puis réapparu après suppression.
Le point d’attention est la mécanique de mise à jour : une séquence “mise à jour propre puis empoisonnement” entre des versions 1.7.2.0 et 1.7.3.0 aurait eu lieu via le réseau de distribution CRX de Google. Le rapport décrit qu’une mise à jour retirerait d’abord le code de vol de données et reconnaîtrait le tort, avant qu’une version ultérieure n’ajoute un schéma de monétisation.
Plus précisément, le rapport indique qu’au lieu d’exfiltrer les conversations, la version mise à jour inclurait un payload de monétisation : ouverture d’un lien d’affiliation dans un nouvel onglet à chaque événement de mise à jour et de désinstallation, ainsi qu’une suppression d’une redirection associée aux utilisateurs d’un service précis vers un autre.
Pourquoi ces affaires comptent pour tout le monde
Même si les cibles principales mentionnées relèvent du public russophone, les risques concernent potentiellement tout utilisateur de Chrome. La raison est simple : une configuration proxy au niveau navigateur peut exposer des informations de navigation à un intermédiaire.
De plus, l’usurpation de marques peut tromper les personnes qui comparent uniquement l’apparence d’un produit. Dans les faits, ce qui fait la différence est la façon dont le trafic est redirigé et la transparence réelle sur les infrastructures utilisées.
Conclusion : agissez avant d’installer “au hasard”
Les 737 cas rapportés montrent un scénario clair : des extensions VPN Chrome peuvent détourner toute la session via des proxys SOCKS5, ce qui place l’utilisateur dans une position où son trafic peut être observé par un tiers. Ajoutez à cela l’usurpation de marques et des indices d’évitement des règles du magasin, et le niveau de vigilance doit monter.
Avant d’installer une extension VPN ou proxy, prenez deux minutes pour vérifier l’éditeur, la crédibilité du service et le comportement réel après activation. Et si une extension vous paraît “trop belle” ou ambiguë, la meilleure décision reste souvent de la supprimer.
Source: https://thehackernews.com/2026/08/737-chrome-vpn-extensions-caught.html
