Un nuevo informe de seguridad advierte sobre extensiones VPN Chrome que, lejos de proteger, están encaminando el tráfico del navegador hacia infraestructuras de proxy controladas por terceros. En total, se detectó un conjunto de 737 complementos gratuitos que parecen estar diseñados para usuarios de habla rusa que buscan acceder a servicios bloqueados.
Lo preocupante no es solo la redirección: muchas de estas extensiones imitan a marcas reconocidas del sector de la privacidad, usando su identidad para ganar confianza. Si instalaste una extensión “VPN” o “proxy” recientemente, vale la pena revisarlo cuanto antes.
¿Qué se encontró en las extensiones VPN Chrome?
Según el análisis, estas extensiones fueron publicadas en el Chrome Web Store a través de al menos 40 cuentas de desarrolladores. En conjunto, acumularon 75.486 instalaciones. De las que se pudieron identificar con mayor detalle, se observó que 274 llegan a hacerse pasar por 66 marcas establecidas de VPN y privacidad.
Entre las marcas suplantadas aparecen nombres conocidos del ámbito VPN y DNS, incluyendo Proton VPN, NordVPN, Surfshark, AdGuard VPN, Browsec, ExpressVPN, CyberGhost, Windscribe, TunnelBear, 1.1.1.1 de Cloudflare y Google Outline.
La estrategia es clara: en lugar de ofrecer la función bajo su propio nombre, muchas copian la identidad de proveedores reales. Esa “apariencia de legitimidad” puede reducir la desconfianza del usuario e impulsar instalaciones.
Cómo canalizan el tráfico: proxy SOCKS5 y configuración fija
El comportamiento técnico descrito por investigadores es especialmente relevante. De acuerdo con el análisis, las extensiones de censura o elusión “encaminan toda la sesión del navegador” usando proxies SOCKS5 operados por un mismo proveedor. En un conjunto mayor, se afirma que 520 de 522 extienden el tráfico mediante la misma infraestructura SOCKS5.
Además, la mayoría aplica una configuración en el navegador mediante la propiedad chrome.proxy.settings, apuntando a un servidor SOCKS5 fijo. En el informe se menciona explícitamente el puerto 1082. Con ello, el atacante queda en una posición tipo “adversary-in-the-middle” (AitM), es decir, en el medio del flujo.
Desde esa posición, se podrían observar destinos a los que se conecta el navegador, la dirección IP de origen, ciertos metadatos asociados a TLS (por ejemplo, el valor TLS SNI) y también el cuerpo de solicitudes cuando viajan por HTTP sin cifrar.
La lista de excepciones solo deja pasar localhost
Otro detalle clave es que las extensiones con configuración de proxy suelen incluir una lista de “bypass”. En este caso, el bypass identificado en el conjunto analizado solo contempla direcciones de loopback (por ejemplo, localhost o 127.0.0.1).
En la práctica, eso significa que una vez que el usuario “conecta” con la extensión que se presenta como VPN, las demás solicitudes del navegador vuelven a quedar canalizadas a través del relay SOCKS5 del puerto mencionado.
Marcas falsas, interfaces engañosas y otras señales de alerta
La funcionalidad ofrecida idealmente “debería” parecerse a la de un servicio VPN o proxy legítimo. Sin embargo, la diferencia esencial está en el intento de suplantación y en cómo se gestiona el proxy sin declararlo de forma transparente.
En el informe se citan varias banderas rojas adicionales que ayudan a detectar este tipo de extensiones:
- Publicidad de planes de pago (o ubicaciones premium) que no existen.
- Intentos de eludir bloqueos mediante DNS-over-HTTPS.
- Fallos en conexiones: mientras muestran una interfaz completa, con animaciones y un indicador de estado, el intento real no funciona.
- Inclusión de un manual interno con instrucciones para evitar que el dominio aparezca directamente en chrome.proxy.settings, sugiriendo el uso de la IP resuelta y evitando dominios de otras extensiones sin pasos separados.
- Comentarios que sugieren una planificación para evitar políticas del Chrome Web Store.
- Adición de una nueva capa de configuración remota después de la aprobación.
- Intentos de manipular el proceso de revisión con justificaciones repetidas, incluyendo frases del tipo “No data transmitted to external servers” o “No user tracking or logging”.
En resumen: no se trata solo de “una VPN más”, sino de un conjunto con patrones de fraude, engaño y sustitución de código.
Extensiones retiradas y las que siguen activas
Según el recuento del informe, 221 de los complementos identificados fueron retirados del Chrome Web Store. Al mismo tiempo, se indica que 516 extensiones permanecen listadas como activas.
Esto implica que, incluso con acciones de moderación, el riesgo no desaparece de inmediato. La presencia de múltiples cuentas y el historial de reapariciones pueden hacer que nuevas variantes vuelvan a estar disponibles.
Además, el texto sugiere que el grupo que opera este esquema podría tener un negocio de VPN por suscripción en Rusia, citando elementos como un número fiscal y rastros que llegan a filtrar rutas de compilación en Windows.
Qué significa para ti: riesgo durante la conexión
El investigador Kush Pandya remarca la consecuencia práctica para cada usuario: mientras la extensión afectada está conectada, cada solicitud pasa por un servidor que el actor controla.
El informe también aclara una limitación: desde el código de la extensión no siempre es posible determinar si el atacante administra los servidores propios o si revende capacidad a un proveedor upstream. Si revende, podría haber un tercero adicional en esa cadena.
En cualquier escenario, la suplantación y la configuración de proxy no declarada son la pieza central del problema.
Otra historia: “AI Sidebar” vuelve con un esquema de monetización
El reporte no se limita a las extensiones VPN Chrome. También destaca el retorno de una extensión de Chrome llamada “AI Sidebar with Deepseek, ChatGPT, Claude, and more”, asociada a prácticas de “prompt poaching”.
En este caso, se describe que el complemento reapareció meses después de ser retirado. Lo hizo mediante una secuencia de actualizaciones “limpiar y envenenar” a través de la red de distribución CRX de Google, en una ventana indicada como el 31 de julio de 2026.
La empresa de ciberseguridad Netskope Threat Labs reporta que el ciclo ocurrió en versiones 1.7.2.0 y 1.7.3.0. Se afirma que la actualización “benigna” eliminó el código de robo de datos y admitió el comportamiento indebido, pero tras un periodo volvió a introducir un cambio.
Cómo monetiza: enlace de afiliado al actualizar o desinstalar
Según el análisis, aunque la extensión ya no incluye el código de exfiltración de conversaciones, incorpora una carga relacionada con monetización. En concreto, abriría un enlace de afiliado en una pestaña en primer plano cada vez que la extensión se actualiza o se desinstala.
Además, el informe menciona que también suprime redirecciones para usuarios que usan DeepSeek hacia ChatGPT. Este tipo de comportamiento no necesariamente implica robo de datos, pero sí representa una forma de manipulación del comportamiento del usuario.
Qué hacer si sospechas que tienes una extensión similar
Si usas extensiones de VPN, proxy o “acceso alternativo”, conviene actuar con prudencia. Aunque no es posible garantizar que una extensión concreta sea maliciosa solo por el nombre, estos casos muestran que la apariencia puede engañar.
Como medidas prácticas, puedes:
- Revisar la lista de extensiones instaladas en Chrome y desactivar o eliminar las que ofrezcan VPN/proxy “gratis” poco conocidas.
- Verificar si el desarrollador y la descripción coinciden con la marca que dicen representar.
- Buscar señales obvias de engaño: falta de conexión real, anuncios de planes que no existen o cambios de comportamiento raros tras actualizaciones.
- Evitar extensiones que parezcan depender de configuraciones de proxy ocultas o que alteren el tráfico del navegador de forma indiscriminada.
En el contexto descrito, el riesgo no es teórico: el informe indica que el tráfico completo puede pasar por infraestructura controlada por el actor.
Conclusión
Las investigaciones muestran un patrón preocupante: extensiones VPN Chrome que aparentan proteger, pero en realidad canalizan toda la navegación a proxies, suplantan marcas conocidas y utilizan estrategias para pasar revisiones. Algunas extensiones fueron retiradas, pero cientos permanecen activas, lo que aumenta la probabilidad de que usuarios reales se vean afectados.
La mejor defensa es la revisión preventiva: revisa tus extensiones, desconfía de imitaciones y prioriza herramientas con reputación comprobable y transparencia técnica.
Fuente: https://thehackernews.com/2026/08/737-chrome-vpn-extensions-caught.html
